GabaritoD — typ e alg.
Gabarito: letra D. O cabeçalho (header) de um JSON Web Token (JWT) é a primeira parte do token e contém obrigatoriamente os campos typ (tipo do token) e alg (algoritmo de assinatura), conforme a especificação RFC 7519. Os demais campos (nbf, cty, sub, aud, iss, exp, iat, jti) pertencem ao payload ou são opcionais no header, mas não compõem a informação essencial de como processar o token.
A banca testa o conhecimento da estrutura básica do JWT: header, payload e signature. No header, os únicos campos obrigatórios são typ e alg. As alternativas trazem combinações de campos que, em sua maioria, são claims do payload.
nbf (not before) e cty (content type) são campos opcionais do header, mas não são os campos normalmente presentes que definem o processamento. nbf é mais comum no payload; cty raramente usado.
sub (subject) e aud (audience) são claims do payload, não do header. Eles carregam informações sobre o sujeito e o público-alvo do token.
iss (issuer) e exp (expiration time) também são claims do payload. Indicam o emissor e o momento de expiração.
typ (type) e alg (algorithm) são os campos obrigatórios do header. typ normalmente vale "JWT" e alg indica o algoritmo de criptografia/assinatura utilizado (ex.: HS256, RS256). Essas informações são essenciais para o processamento correto do token.
iat (issued at) e jti (JWT ID) são claims do payload. iat registra o momento de emissão e jti é um identificador único do token.
A banca mistura campos do header com claims do payload. Muitos candidatos conhecem termos como iss, sub, exp e os associam ao token, mas esquecem de que eles pertencem ao payload, não ao header. O segredo é lembrar: header = como processar (typ e alg); payload = dados (iss, sub, exp, iat, jti, etc.).
Gabarito: letra D.
Link permanente: /questoes/fc069835