Questão de Segurança da Informação · FCC TRT15 2023 (nº 31)

O cabeçalho de um JSON Web Token (JWT) é como a "capa" do token, indicando que tipo de token ele é e qual método criptográfico foi usado para protegê-lo. Ele é fundamental para que o receptor saiba como interpretar e verificar a assinatura do token.

(A) Incorreta: `nbf` (not before) é um campo do payload (carga útil) que indica a partir de quando o token é válido. `cty` (content type) é um campo opcional do cabeçalho, mas não é um dos mais comuns ou obrigatórios como os da alternativa correta.
(B) Incorreta: Tanto `sub` (subject - assunto) quanto `aud` (audience - audiência) são campos padrão que pertencem ao payload (carga útil) do JWT, descrevendo quem é o usuário e para quem o token se destina, respectivamente.
(C) Incorreta: `iss` (issuer - emissor) e `exp` (expiration time - tempo de expiração) são campos cruciais para a validade do token, mas ambos são claims (declarações) que residem no payload (carga útil) do JWT, não no cabeçalho. Esta é a armadilha mais comum, pois esses campos são muito importantes para a segurança do token, mas sua localização é no payload.
(D) Correta: O campo `typ` (type) indica o tipo do token (geralmente "JWT") e o campo `alg` (algorithm) especifica o algoritmo de assinatura usado (ex: HS256, RS256). Ambos são campos obrigatórios ou altamente recomendados no cabeçalho para que o receptor saiba como processar e verificar a assinatura do token.
(E) Incorreta: `iat` (issued at - emitido em) e `jti` (JWT ID - identificador do JWT) são campos que fornecem informações sobre o momento da emissão e um identificador único para o token, respectivamente, e ambos pertencem ao payload (carga útil) do JWT.