Referencia de Claims JWT

Identifica quién emitió el JWT.

Validación: Comparar exactamente con un issuer que la aplicación ya confíe.

Identifica el sujeto representado por el JWT dentro del namespace del issuer.

Validación: Interpretar solo dentro del namespace del issuer después de validarlo.

Identifica los destinatarios previstos del JWT.

Validación: Exigir que esté presente la audiencia esperada por el resource server.

Hora después de la cual el JWT no debe aceptarse.

Validación: Rechazar después de exp permitiendo solo una pequeña tolerancia configurada.

Hora antes de la cual el JWT no debe aceptarse.

Validación: Rechazar antes de nbf salvo la tolerancia de reloj configurada.

Hora en la que se emitió el JWT.

Validación: Usar para políticas de edad/vida útil y rechazar valores futuros poco plausibles.

Identificador único del JWT.

Validación: Combinar con estado del servidor solo si replay o revocación requieren unicidad.

Identifica la parte para la que se emitió el ID Token.

Validación: Comprobar cuando haya varias audiencias o lo exija la política del cliente.

Vincula un ID Token con la solicitud de autenticación del navegador/cliente.

Validación: Comparar exactamente con el nonce guardado para la solicitud de autorización.

Momento en el que ocurrió la autenticación del usuario.

Validación: Usar cuando max_age o la reautenticación dependen de la antigüedad de la autenticación.

Clase de contexto de autenticación alcanzada.

Validación: Aceptar solo niveles de assurance que la aplicación reconozca explícitamente.

Métodos usados realmente para autenticar al usuario.

Validación: No inferir assurance de valores desconocidos; seguir la semántica del issuer.

Valor derivado de hash que vincula un Access Token con un ID Token.

Validación: Validar cuando el flow/response type OIDC lo requiera.

Valor derivado de hash que vincula un código de autorización con un ID Token.

Validación: Validar cuando el response type OIDC lo requiera.

Vincula state con una respuesta firmada en determinados perfiles OIDC/FAPI.

Validación: Validar solo cuando el perfil OIDC/FAPI activo lo exija.

Identifica una sesión del OpenID Provider.

Validación: Tratar como metadata de sesión del issuer, no como ID global de usuario.

Nombre completo de presentación del usuario.

Validación: Dato de perfil; no usar como identificador estable de autorización.

Nombre del usuario.

Validación: Dato de presentación; considerar localización.

Apellidos del usuario.

Validación: No asumir unicidad.

Segundo nombre del usuario.

Validación: Tratar como dato de perfil opcional.

Apodo del usuario.

Validación: Usar solo para presentación.

Nombre corto preferido por el usuario.

Validación: No asumir unicidad global ni inmutabilidad.

URL de la página de perfil.

Validación: Validar el manejo de URL antes de renderizar enlaces.

URL de la imagen de perfil.

Validación: Tratar como contenido remoto no confiable al renderizar.

URL del sitio web del usuario.

Validación: Tratar como dato de perfil no confiable.

Dirección de correo preferida.

Validación: Solo tratar como verificado si email_verified=true y el issuer es confiable.

Indica si el issuer verificó el control del correo.

Validación: Confiar solo junto a un issuer y método de verificación conocidos.

Valor de género proporcionado por el issuer.

Validación: Minimizar la recogida si no es necesario.

Fecha de nacimiento del usuario.

Validación: Dato sensible; no usar como factor de autenticación.

Identificador de zona horaria.

Validación: Usar solo para presentación/preferencias.

Preferencia regional/idioma del usuario.

Validación: Usar para presentación, no para decisiones de confianza.

Número de teléfono preferido.

Validación: Solo tratar como verificado si phone_number_verified=true y el issuer es confiable.

Indica si el issuer verificó el control del número.

Validación: Interpretar según la política y método de verificación del issuer.

Objeto estructurado de dirección postal.

Validación: Validar campos anidados antes de mostrar y tratar como dato sensible.

Momento de la última actualización del perfil.

Validación: Usar únicamente como metadata de frescura del perfil.

Identifica el cliente OAuth asociado al Access Token.

Validación: Comparar solo si la política del resource server depende de un cliente concreto.

Permisos delegados asociados al Access Token.

Validación: Autorizar solo scopes conocidos por el recurso y aplicables a la audience.

Valores de rol usados en autorización.

Validación: Definir semántica issuer/resource y rechazar roles desconocidos por defecto.

Pertenencia a grupos usada en decisiones de autorización.

Validación: No asumir nombres o jerarquías comunes entre issuers.

Derechos o privilegios asociados al sujeto.

Validación: Mapear explícitamente cada entitlement a una acción permitida.

Información de confirmación para una clave proof-of-possession.

Validación: Validar realmente el método de confirmación exigido por el token/perfil.

Identifica al actor real en delegación o impersonation.

Validación: Distinguir actor y sujeto al autorizar y auditar.

Identifica las partes autorizadas a actuar por el sujeto.

Validación: Usar solo con una política explícita de delegación/token exchange.

Lista privada de acciones permitidas por la aplicación.

Validación: Definir issuer, audience y semántica de cada permiso privado.

Convención privada para uno o varios roles.

Validación: No asumir equivalencia con roles; mapear por issuer.

Convención privada para routing de tenant u organización.

Validación: Nunca establecer confianza del issuer solo con tenant; contrastar con contexto autenticado.

Identificador de organización común en modelos SaaS.

Validación: Tratar como valor específico del issuer y exigir membership de recurso por separado.

Convención de proveedor para distinguir tokens access/identity.

Validación: Usar solo si está documentado por el issuer; preferir reglas estándar typ/profile.