JWT-claims
De sleutel-waardeparen in de payload van een JWT. RFC 7519 registreert gestandaardiseerde korte namen van drie letters.
Standaardclaims: iss (uitgever), sub (onderwerp, doorgaans de gebruikers-id), aud (publiek: voor wie het token bedoeld is), exp (verloopmoment als Unix-timestamp), iat (uitgiftetijdstip), nbf (niet geldig vóór) en jti (unieke token-id, handig bij intrekking). OIDC voegt email, name en preferred_username toe. Eigen (private) claims krijgen bij voorkeur een URI of domeinnaam om botsingen te voorkomen (https://jouw-app.nl/role). Controleer altijd aud, exp en de handtekening: wie dat overslaat, opent de deur voor privilege-escalatie.