Etiqueta: jwt

Una configuración completa y funcional de autenticación JWT bearer en una minimal API de ASP.NET Core 11: instalar el paquete, conectar AddAuthentication().AddJwtBearer(), emitir un token, proteger endpoints con RequireAuthorization, agregar políticas de rol y de claim, y probarlo todo con dotnet user-jwts.

Un endpoint protegido que devuelve 405 en lugar de 401 casi siempre significa que el enrutamiento rechazó el verbo HTTP antes de que corriera la autenticación, o que un esquema de cookies robó el challenge. Aquí te explico cómo distinguirlo.

Un token válido que aun así devuelve 401 casi siempre significa que el handler de bearer nunca se ejecutó o se ejecutó bajo el esquema incorrecto. Revisa el orden del middleware, el esquema predeterminado, el nombre del esquema y si el encabezado siquiera llegó al handler.

Una guía completa de TokenValidationParameters en ASP.NET Core 11: cómo funcionan ValidateIssuer, ValidateAudience y ValidateLifetime, cuáles son realmente los valores por defecto, por qué Authority configura automáticamente el emisor y las claves de firma, la trampa de los 5 minutos de ClockSkew y cómo leer los códigos de error IDX cuando se rechaza un token que parece válido.

Una guía completa de CORS para una API con token bearer en ASP.NET Core 11: el orden correcto de UseCors respecto a la autenticación, por qué un token bearer en el encabezado Authorization no es una credencial de CORS, por qué AllowAnyHeader funciona pero un comodín manual no cubre Authorization, y cómo evitar que falle el preflight.

Dos caminos válidos en .NET 11: el endpoint /refresh integrado en MapIdentityApi y una configuración personalizada con JWT, rotación de refresh tokens, seguimiento por familia y detección de reutilización.