Comment vérifie-t-on la signature d'un JWT et quels sont les composants mathématiques requis ?

Pour vérifier la signature d'un JWT, on concatène la chaîne exacte de l'en-tête et de la charge utile encodées en Base64URL avec un point ('en-tete.payload'), puis on calcule le condensat cryptographique à l'aide de l'algorithme spécifié dans l'en-tête ('alg') et de la clé du serveur. On compare enfin ce condensat à la signature décodée en Base64URL. Pour HS256, l'opération repose sur HMAC-SHA256 avec un secret partagé ; pour RS256, elle nécessite une vérification RSA-SHA256 via la clé publique de l'émetteur.

Quelle est la différence entre HS256 et RS256 dans l'authentification par JWT ?

HS256 est un algorithme symétrique où la même clé secrète sert à la fois à signer et à vérifier les jetons. Il convient parfaitement aux architectures monolithiques ou aux environnements où l'émetteur et la passerelle d'API partagent un périmètre réseau sécurisé. RS256 est un algorithme asymétrique où le serveur d'authentification signe les jetons avec une clé privée, tandis que les serveurs de ressources vérifient les signatures à l'aide d'un certificat ou d'une clé publique. Cela permet aux microservices et applications tierces de valider l'authenticité des jetons sans jamais avoir accès à la clé de signature.

Un jeton JWT peut-il être modifié ou falsifié sans invalider sa signature ?

Non. Toute modification apportée à l'en-tête ou à la charge utile (par exemple, promouvoir le rôle d'un utilisateur de 'user' à 'admin' ou repousser la date d'expiration) altère immédiatement l'entrée cryptographique servant au calcul de l'empreinte. Sans la clé privée ou le secret partagé d'origine, un attaquant est dans l'impossibilité mathématique de générer une signature valide, et tout vérificateur conforme rejettera instantanément le jeton avec une erreur de signature invalide.

Pourquoi ne faut-il jamais stocker de données sensibles comme des mots de passe ou des cartes bancaires dans un payload JWT ?

Parce qu'un jeton JWT standard est uniquement signé numériquement (JWS) et non chiffré (JWE). La charge utile est simplement encodée en Base64URL, ce qui n'offre aucune confidentialité. Quiconque intercepte le jeton en transit, analyse le trafic réseau ou accède au stockage local du navigateur peut instantanément décoder la chaîne Base64URL et lire l'ensemble des claims en clair.

Que sont les claims JWT enregistrés et que signifient iat, exp et nbf ?

Les claims enregistrés sont des clés de métadonnées standardisées définies par la RFC 7519 : 'iat' (Issued At) indique l'horodatage Unix de création ; 'exp' (Expiration Time) définit l'instant au-delà duquel le jeton doit être rejeté ; 'nbf' (Not Before) spécifie l'heure à partir de laquelle le jeton devient valide ; 'iss' (Issuer) identifie l'émetteur du jeton ; 'sub' (Subject) désigne le sujet principal (utilisateur ou service) ; et 'aud' (Audience) identifie les destinataires cibles auxquels le jeton est réservé.

Décodeur JWT — Outil en Ligne Gratuit

Jeton JWT encodé

En-tête (JOSE)(74B)

Payload (Claims)(248B)

Signature cryptographique(342B)

Algorithme cryptographique

Clé publique PEM (Certificat SPKI)PKCS#1 / X.509 SPKI

Expected Issuer (iss):

Expected Audience (aud):

Tolérance de dérive d'horloge:

60s

Length: 666 charsSegments: 3/3

En-tête (JOSE) • Payload (Claims) • Signature cryptographique

Expiration (exp): 244d ago

2026-03-04 01:06:40 UTC

En-tête décodé (JOSE)alg: RS256

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "auth0-key-2026-prod"
}

Payload décodé (Claims & Données)6 registered & custom claims

{
  "iss": "https://auth.example.com/",
  "sub": "auth0|64f1a2b3c4d5e6f7",
  "aud": "https://api.example.com/v2/",
  "iat": 1772500000,
  "exp": 1772586400,
  "scope": "read:profile write:reports openid email"
}

iss (Issuer): https://auth.example.com/

sub (Subject): auth0|64f1a2b3c4d5e6f7

aud (Audience): "https://api.example.com/v2/"

iat (Issued At): 245d ago

Status:UNVERIFIED|Time: 0ms

Décodeur JWT (Décodage & Vérification)

Traitement local zero-knowledge

Zéro transmission serveur

Export prêt pour la production

Débogueur JWT (Décoder & Vérifier) — Guide de référence

Paramètres clés et contrôles

Conseils de pro et bonnes pratiques

Pièges courants et dépannage

⚠️Erreur de Signature Invalide (SignatureVerificationException) Malgré un Secret Correct

⚠️Erreur Jeton Expiré (TokenExpiredError: jwt expired) Immédiatement Après la Génération

⚠️Échec de Vérification RS256 avec Erreur 'Format de Clé Invalide' ou Erreur SPKI PEM

⚠️Erreur Jeton Malformé : Le JWT ne Contient Pas Exactement Deux Points Séparateurs

Foire aux questions (FAQ)

Outils et utilitaires connexes