Autenticación backend segura con JSON Web Tokens (JWT)

Audio automático activado: las próximas preguntas se leerán al hacer clic en Seguir.

1. 1

   En la representación visual de un JWT, ¿qué contiene normalmente el segmento central destacado?

   

   A Las claims o declaraciones del token B El algoritmo y el tipo de token C El resultado criptográfico de la firma
2. 2

   ¿Cuál es la función principal de la firma en un JWT firmado correctamente?

   A Ocultar el contenido del token frente al cliente B Permitir comprobar la integridad y el origen del token C Comprimir las claims para reducir el tráfico
3. 3

   ¿Qué establece la claim registrada exp de un JWT?

   A El instante exacto en que fue emitido el token B El tiempo máximo de inactividad permitido al usuario C El instante a partir del cual el token no debe aceptarse
4. 4

   ¿Qué estrategia de duración es más adecuada para reducir el impacto del robo de credenciales?

   

   A Access tokens breves y refresh tokens más duraderos almacenados con mayor protección B Access tokens permanentes y refresh tokens renovados en cada solicitud C Un único token sin expiración para evitar nuevos inicios de sesión
5. 5

   En la solicitud ilustrada, el access token aparece dentro de la URL. ¿Cuál es el principal riesgo de este método?

   

   A Impide que el servidor pueda verificar la firma criptográfica B El token puede quedar expuesto en historiales, registros y sistemas intermedios C Convierte automáticamente el token firmado en un token cifrado
6. 6

   Una solicitud presenta un access token expirado y no contiene otras credenciales válidas. ¿Qué código HTTP debería devolver normalmente la API?

   A 400 Bad Request B 403 Forbidden C 401 Unauthorized
7. 7

   ¿Qué medida ayuda a prevenir ataques de confusión de algoritmo durante la validación de JWT?

   A Aceptar solo algoritmos permitidos explícitamente y usar la clave adecuada para cada uno B Confiar siempre en el algoritmo indicado por la cabecera del token C Omitir la firma cuando el token proceda de una red interna
8. 8

   Un sistema con rotación detecta que se ha reutilizado un refresh token antiguo después de haberse emitido su reemplazo. ¿Qué debería hacer?

   

   A Entregar otro access token porque el refresh token fue válido anteriormente B Invalidar la familia de tokens asociada y exigir una nueva autenticación C Ampliar la expiración del token antiguo para sincronizar los clientes
9. 9

   Según el esquema de claves mostrado, ¿cómo funciona correctamente una firma JWT asimétrica?

   

   A Todas las API firman y verifican los tokens con la misma clave pública B El emisor distribuye su clave privada para que cada API pueda verificar C El emisor firma con su clave privada y las API verifican con la clave pública
10. 10

    En un sistema con access tokens JWT sin estado, ¿qué estrategia limita mejor la validez de una sesión después de cerrar sesión?

    A Revocar el refresh token y usar access tokens breves, con una lista de revocación si el riesgo lo exige B Modificar el payload del JWT almacenado en el cliente C Eliminar la interfaz de usuario sin invalidar ninguna credencial
11. 11

    Si un JWT de sesión se almacena en una cookie HttpOnly enviada automáticamente, ¿qué medida protege mejor las operaciones frente a CSRF?

    A Desactivar la validación de Origin para facilitar solicitudes entre dominios B Configurar SameSite adecuadamente y validar un token anti-CSRF en operaciones sensibles C Codificar dos veces el JWT antes de guardarlo en la cookie
12. 12

    ¿Qué debe verificar una API mediante la claim aud?

    A Que el token contenga el nombre visible del usuario B Que el token haya sido emitido durante la última solicitud C Que el token esté destinado a esa API o recurso
13. 13

    ¿Qué información debería evitarse en el payload de un JWT firmado pero no cifrado?

    A Contraseñas, secretos y datos personales sensibles B Un identificador de usuario no sensible C La fecha de expiración necesaria para validar el token