JSON Web Token (JWT)

Een JSON Web Token (JWT) is een compacte, zelfstandige methode om informatie veilig tussen twee partijen uit te wisselen in JSON-formaat. De token bevat claims over een gebruiker of systeem, ondertekend met een geheime sleutel of certificaat. Hierdoor kan de ontvangende partij verifiëren dat de gegevens authentiek zijn en niet gewijzigd. Voor MKB-bedrijven met webapplicaties, koppelingen of API's is JWT een praktische manier om inlogstatus en toegangsrechten te beheren zonder steeds opnieuw wachtwoorden uit te wisselen.

Hoe een JSON Web Token werkt

Een JWT bestaat uit drie delen, gescheiden door punten: header, payload en signature. De header beschrijft het type token en het gebruikte algoritme. De payload bevat de daadwerkelijke gegevens, zoals gebruikers-ID, rol en vervaltijd. De signature ontstaat door header en payload te combineren met een geheime sleutel en te versleutelen. Wanneer een server de token ontvangt, controleert deze de signature. Klopt die, dan weet de server dat de gegevens niet zijn aangepast. Dit proces verloopt snel en schaalt goed, omdat de server geen sessiegegevens hoeft op te slaan. De token reist mee in elk HTTP-verzoek, vaak in de Authorization-header.

Waarom JWT populair werd in API-gedreven architecturen

Voor 2010 werkten de meeste websites met server-side sessies: bij inloggen kreeg je een sessie-ID die de server in een database opsloeg. Dat werkte prima voor monolithische applicaties, maar werd onhandig toen API's en mobiele apps opkwamen. Elke API-aanroep moest dan de sessie-database raadplegen, wat traag en lastig schaalbaar is. JWT lost dit op doordat alle benodigde informatie in de token zelf zit. De server hoeft geen sessie-state bij te houden, wat performance en schaalbaarheid verbetert. Daarom zie je JWT nu vaak in Single Page Applications, mobiele apps en microservices-architecturen.

Wat JWT oplevert voor API-koppelingen en automatisering

Voor MKB-bedrijven die werken met externe systemen of automatisering is JWT een betrouwbare manier om toegang te regelen. Denk aan een webshop die via een API-koppeling voorraadgegevens uit een ERP-systeem haalt, of een klantportaal dat gegevens uit een CRM opvraagt. Met JWT kan de gebruiker eenmalig inloggen, waarna de applicatie de token bij elk verzoek meestuurt. Dat vermindert het aantal wachtwoord-uitwisselingen en maakt het mogelijk om fijnmazige rechten mee te geven: welke data mag deze gebruiker zien, en hoe lang is de toegang geldig. Ook bij AI-automatisering en workflows via tools als n8n zie je JWT vaak terug als authenticatiemethode. Voor ontwikkelaars biedt het een gestandaardiseerd format dat door vrijwel alle frameworks wordt ondersteund, wat integratie versnelt.

JWT kom je in de praktijk vooral tegen bij applicaties die gebruikers moeten herkennen zonder steeds opnieuw in te loggen. Hieronder beschrijven we vier concrete situaties waarin MKB-bedrijven met JWT te maken krijgen, en wanneer het de juiste keuze is.

Inloggen en sessiemanagement in webapplicaties

Wanneer een bezoeker inlogt op een webapplicatie, stuurt de server na succesvolle verificatie een JWT terug. De browser slaat deze token op, bijvoorbeeld in localStorage of een cookie, en stuurt hem mee bij elk volgend verzoek. Zo weet de server wie de gebruiker is zonder elke keer het wachtwoord te vragen. Dit werkt goed voor klantportalen, dashboards en intranet-omgevingen. Een webshop met 500 producten en een inlogbare accountpagina kan JWT gebruiken om bestelgeschiedenis en verlanglijstjes per gebruiker te tonen. Let op: bewaar JWT nooit in localStorage als de token gevoelige rechten bevat en XSS-risico bestaat. In dat geval is een httpOnly cookie veiliger.

API-authenticatie tussen systemen

Veel MKB-bedrijven koppelen hun website aan externe diensten: een boekingssysteem, een CRM, een voorraadbeheertool. Die systemen communiceren via een API, en JWT is een gangbare manier om te bewijzen dat het verzoek van een geautoriseerde bron komt. De API-aanbieder geeft een JWT uit na verificatie, en het ontvangende systeem controleert de signature bij elk verzoek. Dat maakt het mogelijk om geautomatiseerde processen te laten draaien zonder elke keer gebruikersnaam en wachtwoord door te geven. Een voorbeeld: een B2B-groothandel die via API realtime prijzen naar dealers stuurt, kan per dealer een JWT met specifieke toegangsrechten meegeven.

Single Sign-On tussen meerdere applicaties

Wanneer een organisatie meerdere webapplicaties gebruikt, bijvoorbeeld een HR-portaal, een projectmanagement-tool en een kennisbank, wil je dat medewerkers eenmalig inloggen. Dat heet Single Sign-On (SSO). JWT maakt dit mogelijk: na inloggen bij de centrale identity provider krijgt de gebruiker een token die geldig is voor alle gekoppelde applicaties. Elke applicatie controleert de signature en vertrouwt de claims in de token. Dit bespaart tijd en vermindert wachtwoordmoeheid. Voor MKB-bedrijven met 12 tot 50 medewerkers die met meerdere cloud-tools werken, kan SSO via JWT de onboarding en dagelijkse workflow versnellen.

Wanneer JWT de juiste keuze is en wanneer niet

JWT werkt goed wanneer je stateless authenticatie wilt, schaalbaarheid belangrijk is en je gegevens in de token zelf kunt opslaan zonder privacy-risico. Het is minder geschikt wanneer je tokens snel moet intrekken: eenmaal uitgegeven blijft een JWT geldig tot de vervaltijd, tenzij je een blacklist bijhoudt. Dan verlies je het stateless-voordeel. Ook bij zeer gevoelige data, zoals medische gegevens of financiële transacties, vraagt JWT extra voorzichtigheid: encryptie van de payload en strikte expiry-tijden zijn dan noodzakelijk. Voor eenvoudige websites zonder API-koppelingen of externe integraties kan een klassieke sessie-cookie eenvoudiger en veiliger zijn. Overweeg JWT vooral wanneer je met een moderne webapplicatie-architectuur werkt of externe systemen moet koppelen.