Toda vez que começo uma API nova, decido entre JWT e sessão tradicional antes de escrever a primeira rota autenticada. Não existe resposta universalmente certa — existe a resposta certa pra cada arquitetura, e errar essa escolha custa retrabalho depois.
Quando uso sessão
Para aplicações onde o mesmo servidor Laravel serve tanto a interface quanto a API — a maioria dos sistemas que entrego — sessão tradicional continua sendo mais simples: o framework já resolve boa parte da complexidade de expiração, revogação e armazenamento seguro do lado do servidor. Revogar acesso é trivial: basta invalidar a sessão no servidor.
Quando uso JWT
Quando a API precisa ser consumida por múltiplos clientes independentes — um app mobile, um frontend separado, um parceiro externo — token JWT elimina a necessidade de compartilhar estado de sessão entre servidores diferentes. A troca é que revogar um JWT antes da expiração natural é mais complexo, exigindo lista de bloqueio ou tempo de vida curto com renovação.
Depois da autenticação, a performance
Resolvida a questão de quem é o usuário, o próximo gargalo comum em uma API que cresce costuma ser performance de banco e cache — assunto que aprofundo em Cache em Laravel, sobre o que realmente vale a pena cachear.
