Qu'est-ce qu'un token JWT ?

Un JWT (JSON Web Token) est un standard ouvert (RFC 7519) qui définit un moyen compact et autonome de transmettre des informations de manière sécurisée entre deux parties sous forme d'objet JSON. Ces informations peuvent être vérifiées et approuvées car elles sont signées numériquement.

Structure d'un token JWT

Un JWT est composé de trois parties séparées par des points (.) :

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "1234567890",
  "name": "John",
  "iat": 1516239022
}

HMACSHA256(
  base64UrlEncode(header)
  + "."
  + base64UrlEncode(payload),
  secret
)

Les claims standards du payload

Cas d'usage courants

• Authentification : Après la connexion, un JWT est renvoyé à l'utilisateur. Chaque requête suivante inclut le JWT, permettant d'accéder aux ressources autorisées.
• Échange d'informations : Les JWT permettent de transmettre des informations de manière sécurisée entre parties, grâce à la signature qui garantit l'intégrité des données.
• Autorisation (OAuth 2.0) : Les tokens d'accès OAuth sont souvent au format JWT.
• Single Sign-On (SSO) : Les JWT facilitent l'authentification unique entre plusieurs applications.

Algorithmes de signature courants

Bonnes pratiques de sécurité

• Ne stockez jamais de données sensibles dans le payload (mots de passe, clés API). Le payload est simplement encodé en Base64, pas chiffré.
• Utilisez toujours HTTPS pour transmettre les tokens.
• Définissez une durée d'expiration (claim exp) raisonnable.
• Validez toujours la signature côté serveur avant d'utiliser les données du token.
• Utilisez des algorithmes robustes (RS256 ou ES256 en production).