Un token con el encabezado "alg": "none" y nada después del segundo punto es un «JWS sin protección» (unsecured JWS) válido. En marzo de 2015, Tim McLean demostró que varias bibliotecas JWT populares lo trataban como un algoritmo más, de modo que los atacantes podían quitar la firma, poner none y conseguir que se aceptaran claims arbitrarios; el RFC 8725 §2.1 describe el ataque.
Las bibliotecas modernas rechazan none salvo que quien las llama lo habilite expresamente, y una lista explícita de algoritmos permitidos (por ejemplo, solo ES256) lo excluye por construcción. Vigila las variantes de mayúsculas y minúsculas (None, NONE) en comprobaciones escritas a mano, los verificadores que llaman a una función «decode» en lugar de «verify» y el middleware que omite la verificación cuando la parte de la firma está vacía.