Full course · JOSE · JWT BCP · OAuth 2.0 Security BCP
JWT, JWS et JWE — architecture et validation avancées
Douze leçons pour construire un contrat de validation, gérer les clés et les sessions, puis tester les refus avec des cas adverses maîtrisés.
Lessons, exercises and questions in this path are in French. The interface follows the site language.
Your progress will appear here when JavaScript is active.
Progress and best score are stored only in this browser. No account is needed; clearing browser data removes them. Module times are estimates including exercises.
Prerequisites and environment
- Comprendre HTTP, JSON, TLS et authentification.
- Avoir terminé les leçons sur cookies, CORS et CSRF.
- Utiliser une bibliothèque JOSE maintenue dans un laboratoire isolé.
Learning outcomes
- Différencier format, signature, chiffrement et protocole.
- Définir un validateur strict pour un profil précis.
- Organiser rotation, révocation et stockage selon les menaces.
- Documenter les refus et les limites avec des preuves reproductibles.
Course syllabus
- 01 · 90 min
01. JWT : représentation et confiance
Séparer décodage, validation et interprétation métier.
Open module → - 02 · 90 min
02. JWS : intégrité et détenteurs de clés
Comprendre ce que protège une signature ou un MAC.
Open module → - 03 · 90 min
03. JWE et composition des protections
Choisir un chiffrement authentifié sans confondre ses garanties.
Open module → - 04 · 90 min
04. Claims et profil de jeton d’accès
Relier chaque affirmation au consommateur prévu.
Open module → - 05 · 90 min
05. Algorithmes imposés et profils disjoints
Empêcher le jeton reçu de choisir lui-même sa politique de validation.
Open module → - 06 · 90 min
06. JWK, kid et choix des clés
Résoudre une référence de clé dans un périmètre maîtrisé.
Open module → - 07 · 90 min
07. Discovery, cache JWKS et rotation
Concilier renouvellement des clés et maîtrise de la confiance.
Open module → - 08 · 90 min
08. ID token et access token
Éviter les substitutions entre identité du client et accès à une API.
Open module → - 09 · 90 min
09. Stockage, XSS et CSRF
Choisir un modèle de session selon les menaces du navigateur.
Open module → - 10 · 90 min
10. Expiration, révocation et incident
Définir le délai réel de retrait d’accès.
Open module → - 11 · 90 min
11. Refresh tokens, réutilisation et protocole OAuth
Traiter le renouvellement comme un cycle sensible.
Open module → - 12 · 90 min
12. Matrice de tests et preuves JWT
Démontrer les refus sans exposer les secrets.
Open module →
Capstone project
API de réservation avec fournisseur d’identité
Concevez le contrat de jeton d’une API et ses tests avec un émetteur de laboratoire. Aucun secret réel ne doit entrer dans les fixtures.
- Profil et frontières émetteur/client/API documentés.
- Algorithmes, clés, issuer, audience et temps validés.
- Rotation et incident de clé simulés.
- Refus de profils croisés et absence d’effet métier prouvés.
View a suggested solution
Définissez d’abord qui émet pour quelle API. Configurez une bibliothèque reconnue avec clés et algorithmes attendus. Utilisez une horloge injectée et des clés de test pour produire des cas positifs et négatifs. Vérifiez la décision métier après validation, puis simulez rotation et révocation selon le délai de risque accepté.
Final practice exam
24 original questions · 50 minutes · practice target: 75%. Questions and choices are shuffled. The timer starts when you click Start; your attempt is submitted automatically at expiry. Unanswered questions score 0.
Independent practice exam. Question count, duration and target score are DIGITAL AVENIR teaching choices, not official exam scoring. Answers are included in the page for self-study; no certification credential is awarded.
Open the practice exam →