Claims de JWT
Los pares clave-valor en la parte payload de un JWT. El RFC 7519 registra nombres cortos estandarizados (de 3 letras).
Claims estándar: iss (issuer — emisor), sub (subject — id de usuario), aud (audience — para quién es el token), exp (expiry — timestamp Unix de expiración), iat (issued at — momento de emisión), nbf (not before), jti (id único del token, para revocación). OIDC añade email, name, preferred_username. Claims privados (personalizados): usar una URI o un dominio para evitar colisiones (https://tu-app.com/role). Hay que validar siempre aud + exp + la firma — un fallo habitual que lleva a escalada de privilegios.