Recherche
Rechercher dans le blog.
Déboguer les JWT sans fuite de secrets
Comment inspecter des problèmes JWT dans logs, tickets, CLI, captures et canaux incident sans propager de bearer tokens.
Gestion des clés de signature pour JWT
Guide opérationnel pour les clés de signature JWT: génération, stockage, KMS, rotation, contrôle d’accès, audit et urgence.
Un workflow pratique de pentest JWT
Une séquence éprouvée pour tester les JWT: collecte, décodage, claims, clés, replay et rapport.
Sessions JWT résistantes au replay
Notes de conception pour limiter le replay quand des bearer tokens fuient: jti, état de session, signaux appareil et rotation.
Claims JWT et frontières d’autorisation
Comment décider quels claims sont fiables, lesquels doivent être revérifiés et où le JWT doit cesser de porter l’autorité.
La réalité du stockage des tokens dans le navigateur
Un regard pratique sur JWT dans le navigateur: XSS, CSRF, cookies, localStorage, service workers et compromis.
Expiration JWT et dérive d’horloge
Comment exp, nbf, iat, fenêtres de tolérance, retries et horloges régionales influencent la validation réelle.
Échecs de cache JWKS et rotation
Les cas limites derrière le cache JWKS, la rotation de clés, les kid obsolètes et les vérificateurs résistants aux pannes.
Attaques de confusion entre HS256 et RS256
Comment la confusion d’algorithmes apparaît quand les vérificateurs mélangent les hypothèses symétriques et asymétriques.
Leçons de production sur alg none
Pourquoi l’ancien bug alg none compte encore, comment il revient dans les services modernes et comment le tester proprement.