Um token com o cabeçalho "alg": "none" e nada depois do segundo ponto é um “JWS não protegido” (unsecured JWS) válido. Em março de 2015, Tim McLean mostrou que várias bibliotecas JWT populares o tratavam como apenas mais um algoritmo, de modo que um atacante podia remover a assinatura, definir none e fazer com que claims arbitrárias fossem aceitas; a RFC 8725 §2.1 descreve o ataque.
As bibliotecas modernas rejeitam none, a menos que quem as chama habilite explicitamente, e uma lista explícita de algoritmos permitidos (por exemplo, só ES256) o exclui por construção. Fique atento a variantes de maiúsculas e minúsculas (None, NONE) em verificações escritas à mão, a verificadores que chamam uma função “decode” em vez de “verify” e a middlewares que pulam a verificação quando a parte da assinatura está vazia.