JWT : JSON Web Token
Sécurité
JWT : JSON Web Token. « Jeton web JSON », par analogie avec un badge nominatif signé que l'on présente à l'entrée d'un service.
Structure : Un JWT contient généralement trois parties : un en-tête, des données appelées revendications, puis une signature. Les parties sont encodées pour circuler facilement dans une requête web.
Signature : La signature permet au service de vérifier que le jeton vient bien de l'émetteur attendu et qu'il n'a pas été modifié. Elle ne chiffre pas son contenu : un JWT n'est donc pas un coffre-fort.
Authentification : Après connexion, une application peut remettre un JWT au client, qui le renvoie lors des appels suivants. Le service retrouve ainsi l'identité et les droits associés sans conserver une session complète côté serveur.
Précautions : Un JWT volé peut souvent être utilisé jusqu'à son expiration. Prévoir une durée de vie courte, protéger son transport et éviter d'y placer des informations sensibles.
Ce qui arrive si on s'en passe
Un JWT mal traité devient un laissez-passer que tout le monde peut lire et que personne ne peut reprendre. Oublier que la signature ne chiffre rien conduit à y placer des informations sensibles, lisibles par quiconque intercepte ou conserve le jeton. Sans durée de vie courte, un jeton volé reste utilisable jusqu'à une expiration lointaine, puisque le service, qui ne garde pas de session, n'a aucun moyen simple de l'annuler. Ne pas vérifier la signature, enfin, revient à croire sur parole les revendications du porteur, y compris celle d'être administrateur. Le badge est nominatif, mais personne ne demande au porteur de montrer son visage.
Explication de la marmotte
Imagine un badge numérique remis après une connexion. Il indique qui est la personne et ce qu'elle a le droit de faire. À chaque nouvelle demande, le site peut vérifier ce badge au lieu de redemander le mot de passe. Une marque spéciale prouve qu'il vient bien du site et qu'il n'a pas été changé. Mais le badge n'est pas secret : son contenu peut parfois être lu. S'il est copié, quelqu'un peut s'en servir jusqu'à sa date limite. Mieux vaut donc y mettre peu d'informations et le faire expirer rapidement.
Où ce terme est utilisé
- Gérer la durée de vie des jetons OAuth (8 occurrences)
- OIDC, SAML et OAuth 2.1 en fédération (7 occurrences)
- Authentifier les personnes et les services (5 occurrences)
- Formats, bibliothèques et API : rendre la crypto utilisable (3 occurrences)
- JWS : signer et sécuriser vos échanges JSON (3 occurrences)
- Mettre en place la fédération d’identité de charge (3 occurrences)
- Attaque par confusion de scope OAuth (2 occurrences)
- JWE : chiffrer un jeton JSON sans se tromper (2 occurrences)
- Pièges OAuth 2.1 : PKCE, redirections et scopes (2 occurrences)
- Sécuriser une API gateway comme point de contrôle (2 occurrences)