Qu’est‑ce qu’un JWT ?

Un JSON Web Token est composé de trois segments encodés en Base64URL séparés par des points : header.payload.signature. L’en‑tête déclare le type et l’algorithme (par exemple HS256, RS256). La charge transporte des déclarations (claims) comme iss (émetteur), sub (sujet), aud (audience), exp (expiration) ainsi que des champs personnalisés. La signature est calculée sur l’en‑tête et la charge avec un secret partagé (HMAC) ou une clé privée (RSA/ECDSA), ce qui permet de vérifier intégrité et authenticité sans état côté serveur.

Comment fonctionnent les JWT

Un serveur authentifie un utilisateur, signe un jeton et le renvoie au client. Le client l’envoie ensuite dans l’en‑tête Authorization: Bearer <JWT>. Le serveur vérifie la signature, contrôle exp et nbf, puis applique l’autorisation selon les rôles/scopes. Comme les JWT sont auto‑portés, ils s’intègrent bien aux microservices et CDNs, mais exigent une rotation stricte des clés, des durées de vie courtes et un design des claims soigné pour éviter l’encombrement ou les fuites.

À propos du créateur de JWT

Choisissez HS256/HS384/HS512 pour HMAC avec secret partagé ou RS256/ES256 pour des clés asymétriques. Renseignez les claims standards (iss, sub, aud, exp, nbf, iat, jti) et ajoutez vos champs personnalisés, puis signez pour produire le JWT. Copiez le jeton dans curl ou votre client HTTP pour tester des endpoints protégés. N’exposez jamais de secrets réels dans le navigateur ; n’intégrez pas de clé privée côté client.

FAQ