<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html lang="en"><head><title>JSON Web Token (JWT)</title>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

<meta name="description" content="JSON Web Token (JWT)">

<meta name="keywords" content="RFC, Request for Comments, I-D, Internet-Draft, Assertion, Claim, Simple Web Token, Security Token, SWT, JavaScript Object Notation, JSON, JSON Web Token, JWT, JSON Web Signature, JWS, JSON Web Encryption, JWE, JSON Web Key, JWK, JSON Web Algorithms, JWA">

<meta name="generator" content="xml2rfc v1.36 (http://xml.resource.org/)">

<style type='text/css'><!--

        body {

                font-family: verdana, charcoal, helvetica, arial, sans-serif;

                font-size: small; color: #000; background-color: #FFF;

                margin: 2em;

        }

        h1, h2, h3, h4, h5, h6 {

                font-family: helvetica, monaco, "MS Sans Serif", arial, sans-serif;

                font-weight: bold; font-style: normal;

        }

        h1 { color: #900; background-color: transparent; text-align: right; }

        h3 { color: #333; background-color: transparent; }

        td.RFCbug {

                font-size: x-small; text-decoration: none;

                width: 30px; height: 30px; padding-top: 2px;

                text-align: justify; vertical-align: middle;

                background-color: #000;

        }

        td.RFCbug span.RFC {

                font-family: monaco, charcoal, geneva, "MS Sans Serif", helvetica, verdana, sans-serif;

                font-weight: bold; color: #666;

        }

        td.RFCbug span.hotText {

                font-family: charcoal, monaco, geneva, "MS Sans Serif", helvetica, verdana, sans-serif;

                font-weight: normal; text-align: center; color: #FFF;

        }

        table.TOCbug { width: 30px; height: 15px; }

        td.TOCbug {

                text-align: center; width: 30px; height: 15px;

                color: #FFF; background-color: #900;

        }

        td.TOCbug a {

                font-family: monaco, charcoal, geneva, "MS Sans Serif", helvetica, sans-serif;

                font-weight: bold; font-size: x-small; text-decoration: none;

                color: #FFF; background-color: transparent;

        }

        td.header {

                font-family: arial, helvetica, sans-serif; font-size: x-small;

                vertical-align: top; width: 33%;

                color: #FFF; background-color: #666;

        }

        td.author { font-weight: bold; font-size: x-small; margin-left: 4em; }

        td.author-text { font-size: x-small; }

        /* info code from SantaKlauss at http://www.madaboutstyle.com/tooltip2.html */

        a.info {

                /* This is the key. */

                position: relative;

                z-index: 24;

                text-decoration: none;

        }

        a.info:hover {

                z-index: 25;

                color: #FFF; background-color: #900;

        }

        a.info span { display: none; }

        a.info:hover span.info {

                /* The span will display just on :hover state. */

                display: block;

                position: absolute;

                font-size: smaller;

                top: 2em; left: -5em; width: 15em;

                padding: 2px; border: 1px solid #333;

                color: #900; background-color: #EEE;

                text-align: left;

        }

        a { font-weight: bold; }

        a:link    { color: #900; background-color: transparent; }

        a:visited { color: #633; background-color: transparent; }

        a:active  { color: #633; background-color: transparent; }

        p { margin-left: 2em; margin-right: 2em; }

        p.copyright { font-size: x-small; }

        p.toc { font-size: small; font-weight: bold; margin-left: 3em; }

        table.toc { margin: 0 0 0 3em; padding: 0; border: 0; vertical-align: text-top; }

        td.toc { font-size: small; font-weight: bold; vertical-align: text-top; }

        ol.text { margin-left: 2em; margin-right: 2em; }

        ul.text { margin-left: 2em; margin-right: 2em; }

        li      { margin-left: 3em; }

        /* RFC-2629 <spanx>s and <artwork>s. */

        em     { font-style: italic; }

        strong { font-weight: bold; }

        dfn    { font-weight: bold; font-style: normal; }

        cite   { font-weight: normal; font-style: normal; }

        tt     { color: #036; }

        tt, pre, pre dfn, pre em, pre cite, pre span {

                font-family: "Courier New", Courier, monospace; font-size: small;

        }

        pre {

                text-align: left; padding: 4px;

                color: #000; background-color: #CCC;

        }

        pre dfn  { color: #900; }

        pre em   { color: #66F; background-color: #FFC; font-weight: normal; }

        pre .key { color: #33C; font-weight: bold; }

        pre .id  { color: #900; }

        pre .str { color: #000; background-color: #CFF; }

        pre .val { color: #066; }

        pre .rep { color: #909; }

        pre .oth { color: #000; background-color: #FCF; }

        pre .err { background-color: #FCC; }

        /* RFC-2629 <texttable>s. */

        table.all, table.full, table.headers, table.none {

                font-size: small; text-align: center; border-width: 2px;

                vertical-align: top; border-collapse: collapse;

        }

        table.all, table.full { border-style: solid; border-color: black; }

        table.headers, table.none { border-style: none; }

        th {

                font-weight: bold; border-color: black;

                border-width: 2px 2px 3px 2px;

        }

        table.all th, table.full th { border-style: solid; }

        table.headers th { border-style: none none solid none; }

        table.none th { border-style: none; }

        table.all td {

                border-style: solid; border-color: #333;

                border-width: 1px 2px;

        }

        table.full td, table.headers td, table.none td { border-style: none; }

        hr { height: 1px; }

        hr.insert {

                width: 80%; border-style: none; border-width: 0;

                color: #CCC; background-color: #CCC;

        }

--></style>

</head>

<body>

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<table summary="layout" width="66%" border="0" cellpadding="0" cellspacing="0"><tr><td><table summary="layout" width="100%" border="0" cellpadding="2" cellspacing="1">

<tr><td class="header">OAuth Working Group</td><td class="header">M. Jones</td></tr>

<tr><td class="header">Internet-Draft</td><td class="header">Microsoft</td></tr>

<tr><td class="header">Intended status: Standards Track</td><td class="header">J. Bradley</td></tr>

<tr><td class="header">Expires: April 17, 2013</td><td class="header">Ping Identity</td></tr>

<tr><td class="header"> </td><td class="header">N. Sakimura</td></tr>

<tr><td class="header"> </td><td class="header">NRI</td></tr>

<tr><td class="header"> </td><td class="header">October 14, 2012</td></tr>

</table></td></tr></table>

<h1><br />JSON Web Token (JWT)<br />draft-ietf-oauth-json-web-token-04</h1>

<h3>Abstract</h3>

<p>

        JSON Web Token (JWT) is a means of representing claims to be

        transferred between two parties.  The claims in a JWT are

        encoded as a JavaScript Object Notation (JSON)

        object that is digitally signed or MACed using JSON

        Web Signature (JWS) and/or encrypted using JSON Web Encryption

        (JWE).

</p>

<p>

        The suggested pronunciation of JWT is the same as the English

        word "jot".

</p>

<h3>Status of this Memo</h3>

<p>

This Internet-Draft is submitted  in full

conformance with the provisions of BCP 78 and BCP 79.</p>

<p>

Internet-Drafts are working documents of the Internet Engineering

Task Force (IETF).  Note that other groups may also distribute

working documents as Internet-Drafts.  The list of current

Internet-Drafts is at http://datatracker.ietf.org/drafts/current/.</p>

<p>

Internet-Drafts are draft documents valid for a maximum of six months

and may be updated, replaced, or obsoleted by other documents at any time.

It is inappropriate to use Internet-Drafts as reference material or to cite

them other than as “work in progress.”</p>

<p>

This Internet-Draft will expire on April 17, 2013.</p>

<h3>Copyright Notice</h3>

<p>

Copyright (c) 2012 IETF Trust and the persons identified as the

document authors.  All rights reserved.</p>

<p>

This document is subject to BCP 78 and the IETF Trust's Legal

Provisions Relating to IETF Documents

(http://trustee.ietf.org/license-info) in effect on the date of

publication of this document.  Please review these documents

carefully, as they describe your rights and restrictions with respect

to this document. Code Components extracted from this document must

include Simplified BSD License text as described in Section 4.e of

the Trust Legal Provisions and are provided without warranty as

described in the Simplified BSD License.</p>

<a name="toc"></a><br /><hr />

<h3>Table of Contents</h3>

<p class="toc">

<a href="#anchor1">1.</a> 

Introduction<br />

    <a href="#anchor2">1.1.</a> 

Notational Conventions<br />

<a href="#anchor3">2.</a> 

Terminology<br />

<a href="#anchor4">3.</a> 

JSON Web Token (JWT) Overview<br />

    <a href="#ExampleJWT">3.1.</a> 

Example JWT<br />

<a href="#anchor5">4.</a> 

JWT Claims<br />

    <a href="#ReservedClaimName">4.1.</a> 

Reserved Claim Names<br />

        <a href="#expDef">4.1.1.</a> 

"exp" (Expiration Time) Claim<br />

        <a href="#nbfDef">4.1.2.</a> 

"nbf" (Not Before) Claim<br />

        <a href="#iatDef">4.1.3.</a> 

"iat" (Issued At) Claim<br />

        <a href="#issDef">4.1.4.</a> 

"iss" (Issuer) Claim<br />

        <a href="#audDef">4.1.5.</a> 

"aud" (Audience) Claim<br />

        <a href="#prnDef">4.1.6.</a> 

"prn" (Principal) Claim<br />

        <a href="#jtiDef">4.1.7.</a> 

"jti" (JWT ID) Claim<br />

        <a href="#typDef">4.1.8.</a> 

"typ" (Type) Claim<br />

    <a href="#PublicClaimName">4.2.</a> 

Public Claim Names<br />

    <a href="#PrivateClaimName">4.3.</a> 

Private Claim Names<br />

<a href="#anchor6">5.</a> 

JWT Header<br />

    <a href="#typHdrDef">5.1.</a> 

"typ" (Type) Header Parameter<br />

    <a href="#ctyHdrDef">5.2.</a> 

"cty" (Content Type) Header Parameter<br />

<a href="#Plaintext">6.</a> 

Plaintext JWTs<br />

    <a href="#ExamplePlaintextJWT">6.1.</a> 

Example Plaintext JWT<br />

<a href="#anchor7">7.</a> 

Rules for Creating and Validating a JWT<br />

<a href="#Algorithms">8.</a> 

Cryptographic Algorithms<br />

<a href="#IANA">9.</a> 

IANA Considerations<br />

    <a href="#JWTClaimsReg">9.1.</a> 

JSON Web Token Claims Registry<br />

        <a href="#anchor8">9.1.1.</a> 

Registration Template<br />

        <a href="#anchor9">9.1.2.</a> 

Initial Registry Contents<br />

    <a href="#anchor10">9.2.</a> 

Sub-Namespace Registration of urn:ietf:params:oauth:token-type:jwt<br />

        <a href="#anchor11">9.2.1.</a> 

Registry Contents<br />

    <a href="#anchor12">9.3.</a> 

JSON Web Signature and Encryption Type Values Registration<br />

        <a href="#anchor13">9.3.1.</a> 

Registry Contents<br />

    <a href="#anchor14">9.4.</a> 

Media Type Registration<br />

        <a href="#anchor15">9.4.1.</a> 

Registry Contents<br />

<a href="#Security">10.</a> 

Security Considerations<br />

<a href="#rfc.references1">11.</a> 

References<br />

    <a href="#rfc.references1">11.1.</a> 

Normative References<br />

    <a href="#rfc.references2">11.2.</a> 

Informative References<br />

<a href="#EncryptedJWT">Appendix A.</a> 

Example Encrypted JWT<br />

<a href="#anchor18">Appendix B.</a> 

Relationship of JWTs to SAML Tokens<br />

<a href="#anchor19">Appendix C.</a> 

Relationship of JWTs to Simple Web Tokens (SWTs)<br />

<a href="#Acknowledgements">Appendix D.</a> 

Acknowledgements<br />

<a href="#TBD">Appendix E.</a> 

Open Issues<br />

<a href="#anchor20">Appendix F.</a> 

Document History<br />

<a href="#rfc.authors">§</a> 

Authors' Addresses<br />

</p>

<br clear="all" />

<a name="anchor1"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.1"></a><h3>1. 

Introduction</h3>

<p>

        JSON Web Token (JWT) is a compact token format intended for

        space constrained environments such as HTTP Authorization

        headers and URI query parameters. JWTs encode claims to be

        transmitted as a

        JavaScript Object Notation (JSON) <a class='info' href='#RFC4627'>[RFC4627]<span> (</span><span class='info'>Crockford, D., “The application/json Media Type for JavaScript Object Notation (JSON),” July 2006.</span><span>)</span></a>

        object that is base64url encoded

        and digitally signed or MACed and/or encrypted.  Signing and MACing is

performed using JSON Web Signature (JWS) <a class='info' href='#JWS'>[JWS] (<span class='info'>Jones, M., Bradley, J., and N. Sakimura, “JSON Web Signature (JWS),” October 2012.)</a>.

        Encryption is performed using

JSON Web Encryption (JWE) <a class='info' href='#JWE'>[JWE] (<span class='info'>Jones, M., Rescorla, E., and J. Hildebrand, “JSON Web Encryption (JWE),” October 2012.)</a>.

</p>

<p>

        The suggested pronunciation of JWT is the same as the English

        word "jot".

</p>

<a name="anchor2"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.1.1"></a><h3>1.1. 

Notational Conventions</h3>

<p>

          The key words "MUST", "MUST NOT", "REQUIRED", "SHALL",

          "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY",

          and "OPTIONAL" in this document are to be interpreted as

          described in

Key words for use in RFCs to Indicate Requirement Levels <a class='info' href='#RFC2119'>[RFC2119] (<span class='info'>Bradner, S., “Key words for use in RFCs to Indicate Requirement Levels,” March 1997.)</a>.

</p>

<a name="anchor3"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.2"></a><h3>2. 

Terminology</h3>

<p>

        </p>

<blockquote class="text"><dl>

<dt>JSON Web Token (JWT)</dt>

<dd>

            A string representing a set of claims as a JSON object that is

            digitally signed or MACed and/or encrypted.

            The string consists of multiple parts, the first being the

            Encoded JWT Header, plus additional parts depending upon

            the contents of the header, with the parts being separated

            by period ('.') characters, and each part containing

            base64url encoded content.

</dd>

<dt>Base64url Encoding</dt>

<dd>

            The URL- and filename-safe Base64 encoding

            described in <a class='info' href='#RFC4648'>RFC 4648<span> (</span><span class='info'>Josefsson, S., “The Base16, Base32, and Base64 Data Encodings,” October 2006.</span><span>)</span></a> [RFC4648],

            Section 5, with the (non URL-safe) '=' padding characters

            omitted, as permitted by Section 3.2.  (See Appendix C of

            <a class='info' href='#JWS'>[JWS]<span> (</span><span class='info'>Jones, M., Bradley, J., and N. Sakimura, “JSON Web Signature (JWS),” October 2012.</span><span>)</span></a> for notes on implementing base64url

            encoding without padding.)

</dd>

<dt>JWT Header</dt>

<dd>

            A string representing a JSON object that

            describes the cryptographic operations applied to the JWT.

            When the JWT is digitally signed or MACed, the JWT Header is a JWS Header.

            When the JWT is encrypted, the JWT Header is a JWE Header.

</dd>

<dt>Header Parameter Name</dt>

<dd>

            The name of a member of the JSON object representing a

            JWT Header.

</dd>

<dt>Header Parameter Value</dt>

<dd>

            The value of a member of the JSON object representing a

            JWT Header.

</dd>

<dt>JWT Claims Set</dt>

<dd>

            A string representing a JSON object that

            contains the claims conveyed by the JWT.

            When the JWT is digitally signed or MACed, the bytes of the UTF-8 representation of the

            JWT Claims Set are base64url encoded to create the Encoded JWS Payload.

            When the JWT is encrypted, the bytes of the UTF-8 representation of the

            JWT Claims Set are used as the JWE Plaintext.

</dd>

<dt>Claim Name</dt>

<dd>

            The name of a member of the JSON object representing a

            JWT Claims Set.

</dd>

<dt>Claim Value</dt>

<dd>

            The value of a member of the JSON object representing a

            JWT Claims Set.

</dd>

<dt>Encoded JWT Header</dt>

<dd>

            Base64url encoding of the bytes of the

            UTF-8 <a class='info' href='#RFC3629'>[RFC3629]<span> (</span><span class='info'>Yergeau, F., “UTF-8, a transformation format of ISO 10646,” November 2003.</span><span>)</span></a>

            representation of the JWT Header.

</dd>

<dt>Collision Resistant Namespace</dt>

<dd>

            A namespace that allows names to be allocated in a manner

            such that they are highly unlikely to collide with other names.

            For instance, collision resistance can be achieved through

            administrative delegation of portions of the namespace or

            through use of collision-resistant name allocation functions.

            Examples of Collision Resistant Namespaces include:

            Domain Names,

            Object Identifiers (OIDs) as defined in the ITU-T X.660

            and X.670 Recommendation series, and

            Universally Unique IDentifiers (UUIDs)

            <a class='info' href='#RFC4122'>[RFC4122]<span> (</span><span class='info'>Leach, P., Mealling, M., and R. Salz, “A Universally Unique IDentifier (UUID) URN Namespace,” July 2005.</span><span>)</span></a>.

            When using an administratively delegated namespace,

            the definer of a name needs to take

            reasonable precautions to ensure they are in control of

            the portion of the namespace they use to define the name.

</dd>

<dt>StringOrURI</dt>

<dd>

            A JSON string value, with the additional requirement that

            while arbitrary string values MAY be used, any value

            containing a ":" character MUST be a URI

            <a class='info' href='#RFC3986'>[RFC3986]<span> (</span><span class='info'>Berners-Lee, T., Fielding, R., and L. Masinter, “Uniform Resource Identifier (URI): Generic Syntax,” January 2005.</span><span>)</span></a>.

            StringOrURI values are compared as case-sensitive strings

            with no transformations or canonicalizations applied.

</dd>

<dt>IntDate</dt>

<dd>

            A JSON numeric value representing the number of seconds

            from 1970-01-01T0:0:0Z UTC until the specified UTC date/time.

            See <a class='info' href='#RFC3339'>RFC 3339<span> (</span><span class='info'>Klyne, G., Ed. and C. Newman, “Date and Time on the Internet: Timestamps,” July 2002.</span><span>)</span></a> [RFC3339] for details

            regarding date/times in general and UTC in particular.

</dd>

</dl></blockquote><p>

</p>

<a name="anchor4"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.3"></a><h3>3. 

JSON Web Token (JWT) Overview</h3>

<p>

        JWTs represent a set of claims as a JSON object that is

        base64url encoded and digitally signed or MACed and/or

        encrypted.  The JWT Claims Set represents this JSON object.

        As per <a class='info' href='#RFC4627'>RFC 4627<span> (</span><span class='info'>Crockford, D., “The application/json Media Type for JavaScript Object Notation (JSON),” July 2006.</span><span>)</span></a> [RFC4627]

        Section 2.2, the JSON object consists of zero or more

        name/value pairs (or members), where the names are strings and

        the values are arbitrary JSON values.  These members are the

        claims represented by the JWT.

</p>

<p>

        The member names within the JWT Claims Set are

        referred to as Claim Names.  The

        corresponding values are referred to as Claim Values.

</p>

<p>

        The bytes of the UTF-8 representation of the JWT Claims Set

        are digitally signed or MACed in the manner described in JSON Web Signature (JWS)

        <a class='info' href='#JWS'>[JWS]<span> (</span><span class='info'>Jones, M., Bradley, J., and N. Sakimura, “JSON Web Signature (JWS),” October 2012.</span><span>)</span></a> and/or encrypted in the manner described

in JSON Web Encryption (JWE) <a class='info' href='#JWE'>[JWE] (<span class='info'>Jones, M., Rescorla, E., and J. Hildebrand, “JSON Web Encryption (JWE),” October 2012.)</a>.

</p>

<p>

        The contents of the JWT Header describe the cryptographic

        operations applied to the JWT Claims Set.

        If the JWT Header is a JWS Header, the claims are digitally signed or MACed.

        If the JWT Header is a JWE Header, the claims are encrypted.

</p>

<p>

        A JWT is represented as a JWS or JWE.  The number of parts is

        dependent upon the representation of the resulting JWS or JWE.

</p>

<a name="ExampleJWT"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.3.1"></a><h3>3.1. 

Example JWT</h3>

<p>

          The following example JWT Header declares that the

          encoded object is a JSON Web Token (JWT) and the JWT is

          MACed using the HMAC SHA-256 algorithm:

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  {"typ":"JWT",

   "alg":"HS256"}

</pre></div>

<p>

          Base64url encoding the bytes of the UTF-8 representation of

          the JWT Header yields this Encoded JWS Header value,

          which is used as the Encoded JWT Header:

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  eyJ0eXAiOiJKV1QiLA0KICJhbGciOiJIUzI1NiJ9

</pre></div>

<p>

          The following is an example of a JWT Claims Set:

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  {"iss":"joe",

   "exp":1300819380,

   "http://example.com/is_root":true}

</pre></div>

<p>

          Base64url encoding the bytes of the UTF-8 representation of

          the JSON Claims Set yields this Encoded JWS Payload

          (with line breaks for display purposes only):

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly

  9leGFtcGxlLmNvbS9pc19yb290Ijp0cnVlfQ

</pre></div>

<p>

          Signing the Encoded JWS Header and Encoded JWS Payload with

          the HMAC SHA-256 algorithm and base64url encoding the

          signature in the manner specified in <a class='info' href='#JWS'>[JWS]<span> (</span><span class='info'>Jones, M., Bradley, J., and N. Sakimura, “JSON Web Signature (JWS),” October 2012.</span><span>)</span></a>,

          yields this Encoded JWS Signature:

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

</pre></div>

<p>

          Concatenating these parts in this order

          with period ('.') characters between the

          parts yields this complete JWT (with line breaks for

          display purposes only):

</p><div style='display: table; width: 0; margin-left: 3em; margin-right: auto'><pre>

  eyJ0eXAiOiJKV1QiLA0KICJhbGciOiJIUzI1NiJ9

  .

  eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly9leGFt

  cGxlLmNvbS9pc19yb290Ijp0cnVlfQ

  .

  dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk

</pre></div>

<p>

This computation is illustrated in more detail in <a class='info' href='#JWS'>[JWS] (<span class='info'>Jones, M., Bradley, J., and N. Sakimura, “JSON Web Signature (JWS),” October 2012.)</a>, Appendix A.1.

          See <a class='info' href='#EncryptedJWT'>Appendix A<span> (</span><span class='info'>Example Encrypted JWT</span><span>)</span></a> for an example of

          an encrypted JWT.

</p>

<a name="anchor5"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.4"></a><h3>4. 

JWT Claims</h3>

<p>

        The JWT Claims Set represents a JSON object whose members

        are the claims conveyed by the JWT.

        The Claim Names within this object MUST be unique;

        JWTs with duplicate Claim Names MUST be rejected.

        Note however, that the set of claims that a

        JWT must contain to be considered valid is context-dependent

        and is outside the scope of this specification.  When used in

        a security-related context, implementations MUST understand

        and support all of the claims present; otherwise, the JWT MUST

        be rejected for processing.

</p>

<p>

        There are three classes of JWT Claim Names: Reserved Claim

        Names, Public Claim Names, and Private Claim Names.

</p>

<a name="ReservedClaimName"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.4.1"></a><h3>4.1. 

Reserved Claim Names</h3>

<p>

          The following claim names are reserved. None of the claims

          defined below are intended to be mandatory, but

          rather, provide a starting point for a set of useful,

          interoperable claims.  All the names are short because a

          core goal of JWTs is for the tokens to be compact.

          Additional reserved claim names MAY be defined via the

          IANA JSON Web Token Claims registry <a class='info' href='#JWTClaimsReg'>Section 9.1<span> (</span><span class='info'>JSON Web Token Claims Registry</span><span>)</span></a>.  

</p>

<a name="expDef"></a><br /><hr />

<table summary="layout" cellpadding="0" cellspacing="2" class="TOCbug" align="right"><tr><td class="TOCbug"><a href="#toc"> TOC </a></td></tr></table>

<a name="rfc.section.4.1.1"></a><h3>4.1.1. 

"exp" (Expiration Time) Claim</h3>

<p>

            The <tt>exp</tt> (expiration time)

            claim identifies the expiration time on or after which the

            token MUST NOT be accepted for processing.  The processing

            of the <tt>exp</tt> claim requires that

            the current date/time MUST be before the expiration

            date/time listed in the <tt>exp</tt>

            claim. Implementers MAY provide for some small leeway,

            usually no more than a few minutes, to account for clock skew.

            Its value MUST be a number containing an IntDate value.