JWT Structure DiagramRFC 7519
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsImV4cCI6MTcwOTQwMDAwMH0
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Header
Base64URL encoded
Contient le type de jeton (JWT) et l'algorithme de signature (ex: HS256, RS256).
Payload
Base64URL encoded
Contient les revendications (claims) : sub, iac, exp, rôles utilisateur, etc.
Signature
HMAC / RSA signed
Garantit l'intégrité du jeton. Ne peut pas être falsifiée sans la clé secrète.
⚠️
Le Header et le Payload ne sont PAS chiffrés — ils sont simplement encodés en Base64URL. Toute personne possédant le jeton peut les lire. Seule la Signature garantit l'authenticité.
Sécurité JWT : Algorithmes cryptographiques (HS256 vs RS256)
HS256 vs RS256 : Symétrique vs Asymétrique
Le claim 'alg' définit comment le jeton a été signé. Vérifier cet en-tête est crucial pour éviter les vulnérabilités liées à l'algorithme 'none'.
Détection des modèles d'infrastructure
Vérifiez localement pour déboguer les erreurs sans exposer vos données à des tiers.