Nível 2 (Autenticação & superfície)

Qual a diferença entre autenticação e autorização? Dê 1 exemplo de authZ quebrada.

Um JWT tem 3 partes. O que garante que ele não foi adulterado?

(V/F) "Se o JWT_SECRET vaza no código, basta trocar o token que o sistema fica seguro." Justifique.

Por que um JWT sem o campo exp é perigoso?

O login demora 0,14s para e-mail inexistente e 0,81s para e-mail real. Que tipo de falha é essa e o que o atacante descobre?

curl -X DELETE "$BASE/api/feed" retorna 405. O que isso te diz sobre o endpoint?

(Aplicação) Cite duas defesas contra credential stuffing no login.