~/questoes/programacao
Um JWT com tempo de expiração curto limita a janela de oportunidade para que um token roubado ou comprometido seja utilizado maliciosamente. Quanto menor o tempo de validade, menor o risco de uso prolongado sem autorização.
Tokens com expiração curta reduzem significativamente o dano potencial de um roubo. Se alguém conseguir interceptar seu token, terá apenas minutos ou poucas horas para usá-lo antes que expire automaticamente, forçando o invasor a obter um novo token legitimamente.
O tamanho do arquivo JWT não é afetado pelo tempo de expiração. A duração é um metadado interno do token, não um fator que reduz seu tamanho total. Economia de armazenamento não é a razão para expiração curta.
Essa é a verdadeira razão. Ao expirar rapidamente, o token se torna inútil após pouco tempo, mesmo que tenha sido roubado. É um mecanismo de defesa contra compromisso de segurança.
O tempo de expiração não interfere na validação da assinatura criptográfica. O servidor sempre precisa verificar a assinatura, independente de o token estar expirado ou não. Expiração e validação de assinatura são verificações separadas.
Um JWT com expiração curta não força login em cada requisição. O token permanece válido durante seu tempo de vida; o usuário só faz login novamente quando o token expira. É diferente de validar credenciais a cada request.