¿Cuál es la principal desventaja de los access tokens JWT stateless?
Opciones
- Son demasiado grandes para enviarlos
- Son difíciles de revocar antes de que caduquen (Opción correcta)
- Requieren una consulta a la base de datos en cada petición
- Solo funcionan con OAuth
Respuesta
Son difíciles de revocar antes de que caduquen
Por qué
El servidor valida un JWT solo comprobando su firma y su caducidad, sin consultar nada. Es rápido, pero también significa que el servidor no puede 'cancelar' fácilmente un token: sigue válido hasta que caduca.
Soluciones comunes: access tokens de vida corta (5-15 minutos) más refresh tokens que SÍ se pueden revocar, o una denylist de IDs de tokens revocados.
Recuerda
Los JWT son difíciles de revocar → mantenlos de vida corta.