JWT（JSON Web Token）
JSON Web Token
じょっと
利用者IDや有効期限などの情報（クレーム）をJSONで表し、デジタル署名やMACを付けて改ざんを検知できるようにしたトークン。署名付きのJWTは、ヘッダー・ペイロード・署名をそれぞれBase64URLで符号化し、ピリオドでつないだ文字列で表す。OpenID ConnectのIDトークンやAPIのアクセストークンに使われ、受け取った側が署名とアルゴリズム（alg）を正しく検証しないと、改ざんされたトークンや署名のないトークン（alg=none）を受け入れてしまう。
Related
関連キーワードの用語
Webサービス間で認可情報を安全に委譲するためのプロトコル。リソースオーナーの許可を得て、サービス（クライアント）に対してアクセストークンを発行し、適切な権限の範囲内でリソースへのアクセスを許可する。認証ではなく認可のためのプロトコルである。
Webアプリケーションにおいてユーザーの状態を維持するための仕組みの管理。セッションIDの安全な生成（十分な長さとランダム性）、Cookieのセキュア属性（Secure、HttpOnly、SameSite）の設定、セッションタイムアウト、ログイン時のセッションID再生成などが重要な対策となる。
攻撃者があらかじめ用意したセッションIDを利用者に使わせ、その利用者が認証を済ませた後に同じIDでセッションを乗っ取る攻撃。認証成功時にセッションIDを再発行することが基本的な対策となる。
プロキシサーバを経由して外部へアクセスする際に利用者認証を求める仕組み。誰がどのサイトへアクセスしたかをログに残せるため、追跡性の確保と不正利用の抑止に役立つ。
人間には判読できるが機械には認識しにくい歪んだ文字や画像を提示し、操作しているのが人間かプログラムかを判別する仕組み。会員登録や投稿フォームで、ボットによる自動投稿や大量アカウント作成を防ぐために使う。
組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。