Referência de Claims JWT

Identifica quem emitiu o JWT.

Validação: Comparar exatamente com um issuer previamente confiado pela aplicação.

Identifica o sujeito representado pelo JWT dentro do namespace do issuer.

Validação: Interpretar somente no namespace do issuer depois de validá-lo.

Identifica os destinatários pretendidos do JWT.

Validação: Exigir a audience esperada pelo resource server.

Horário após o qual o JWT não deve ser aceito.

Validação: Rejeitar após exp permitindo apenas pequena tolerância de relógio configurada.

Horário antes do qual o JWT não deve ser aceito.

Validação: Rejeitar antes de nbf, exceto pela tolerância configurada.

Horário em que o JWT foi emitido.

Validação: Usar em políticas de idade/vida útil e rejeitar valores futuros implausíveis.

Identificador único do JWT.

Validação: Combinar com estado do servidor apenas quando replay ou revogação exigirem unicidade.

Identifica a parte para a qual o ID Token foi emitido.

Validação: Verificar quando houver múltiplas audiences ou a política do cliente exigir.

Vincula um ID Token à solicitação de autenticação do navegador/cliente.

Validação: Comparar exatamente com o nonce salvo para a solicitação de autorização.

Momento em que ocorreu a autenticação do usuário.

Validação: Usar quando max_age ou reautenticação dependerem da idade da autenticação.

Classe de contexto de autenticação alcançada.

Validação: Aceitar somente níveis de assurance reconhecidos explicitamente pela aplicação.

Métodos realmente usados para autenticar o usuário.

Validação: Não inferir assurance de valores desconhecidos; seguir a semântica do issuer.

Valor derivado de hash que vincula um Access Token a um ID Token.

Validação: Validar quando o flow/response type OIDC exigir.

Valor derivado de hash que vincula um código de autorização a um ID Token.

Validação: Validar quando o response type OIDC exigir.

Vincula state a uma resposta assinada em determinados perfis OIDC/FAPI.

Validação: Validar somente quando o perfil OIDC/FAPI ativo exigir.

Identifica uma sessão do OpenID Provider.

Validação: Tratar como metadata de sessão do issuer, não como ID global do usuário.

Nome completo de exibição do usuário.

Validação: Dado de perfil; não usar como identificador estável de autorização.

Nome do usuário.

Validação: Dado de apresentação; considerar localização.

Sobrenome do usuário.

Validação: Não assumir unicidade.

Nome do meio do usuário.

Validação: Tratar como dado opcional de perfil.

Apelido do usuário.

Validação: Usar apenas para apresentação.

Nome de usuário curto preferido.

Validação: Não assumir unicidade global nem imutabilidade.

URL da página de perfil.

Validação: Validar tratamento da URL antes de renderizar links.

URL da imagem de perfil.

Validação: Tratar como conteúdo remoto não confiável ao renderizar.

URL do site do usuário.

Validação: Tratar como dado de perfil não confiável.

Endereço de e-mail preferido.

Validação: Só tratar como verificado se email_verified=true e o issuer for confiável.

Indica se o issuer verificou o controle do e-mail.

Validação: Confiar apenas com issuer e método de verificação conhecidos.

Valor de gênero fornecido pelo issuer.

Validação: Minimizar coleta quando o dado não for necessário.

Data de nascimento do usuário.

Validação: Dado sensível; não usar como fator de autenticação.

Identificador de fuso horário.

Validação: Usar apenas para apresentação/preferências.

Preferência de localidade/idioma.

Validação: Usar para apresentação, não para decisões de confiança.

Número de telefone preferido.

Validação: Só tratar como verificado se phone_number_verified=true e o issuer for confiável.

Indica se o issuer verificou o controle do número.

Validação: Interpretar conforme a política e método de verificação do issuer.

Objeto estruturado de endereço postal.

Validação: Validar campos aninhados antes de exibir e tratar como dado sensível.

Momento da última atualização do perfil.

Validação: Usar somente como metadata de atualidade do perfil.

Identifica o cliente OAuth associado ao Access Token.

Validação: Comparar apenas se a política do resource server depender de um cliente específico.

Permissões delegadas associadas ao Access Token.

Validação: Autorizar apenas scopes conhecidos pelo recurso e aplicáveis à audience.

Valores de papel usados para autorização.

Validação: Definir semântica issuer/resource e rejeitar papéis desconhecidos por padrão.

Associação a grupos usada em decisões de autorização.

Validação: Não assumir nomes ou hierarquias iguais entre issuers.

Direitos ou privilégios atribuídos ao sujeito.

Validação: Mapear explicitamente cada entitlement para uma ação permitida.

Informações de confirmação para chave proof-of-possession.

Validação: Validar de fato o método de confirmação exigido pelo token/perfil.

Identifica o ator efetivo em delegação ou impersonation.

Validação: Distinguir ator e sujeito em autorização e auditoria.

Identifica partes autorizadas a agir pelo sujeito.

Validação: Usar apenas com política explícita de delegação/token exchange.

Lista privada de ações permitidas pela aplicação.

Validação: Definir issuer, audience e semântica de cada permissão privada.

Convenção privada para um ou vários papéis.

Validação: Não assumir equivalência com roles; mapear por issuer.

Convenção privada para routing de tenant ou organização.

Validação: Nunca estabelecer confiança do issuer só pelo tenant; conferir contexto autenticado.

Identificador de organização comum em modelos SaaS.

Validação: Tratar como valor específico do issuer e exigir membership do recurso separadamente.

Convenção de fornecedor para distinguir uso access/identity do token.

Validação: Usar apenas se documentado pelo issuer; preferir regras padrão typ/profile.