Articles tagués: #jwt

Comment inspecter des problèmes JWT dans logs, tickets, CLI, captures et canaux incident sans propager de bearer tokens.

Guide opérationnel pour les clés de signature JWT: génération, stockage, KMS, rotation, contrôle d’accès, audit et urgence.

Une séquence éprouvée pour tester les JWT: collecte, décodage, claims, clés, replay et rapport.

Notes de conception pour limiter le replay quand des bearer tokens fuient: jti, état de session, signaux appareil et rotation.

Comment décider quels claims sont fiables, lesquels doivent être revérifiés et où le JWT doit cesser de porter l’autorité.

Un regard pratique sur JWT dans le navigateur: XSS, CSRF, cookies, localStorage, service workers et compromis.

Comment exp, nbf, iat, fenêtres de tolérance, retries et horloges régionales influencent la validation réelle.

Les cas limites derrière le cache JWKS, la rotation de clés, les kid obsolètes et les vérificateurs résistants aux pannes.

Comment la confusion d’algorithmes apparaît quand les vérificateurs mélangent les hypothèses symétriques et asymétriques.

Pourquoi l’ancien bug alg none compte encore, comment il revient dans les services modernes et comment le tester proprement.