Cours complet · JOSE · JWT BCP · OAuth 2.0 Security BCP
JWT, JWS et JWE — architecture et validation avancées
Douze leçons pour construire un contrat de validation, gérer les clés et les sessions, puis tester les refus avec des cas adverses maîtrisés.
Votre progression apparaîtra ici lorsque JavaScript est actif.
La progression et le meilleur score sont enregistrés uniquement dans ce navigateur. Aucun compte n’est nécessaire ; effacer les données du navigateur les supprime. Les durées de modules sont indicatives et incluent les exercices.
Prérequis et environnement
- Comprendre HTTP, JSON, TLS et authentification.
- Avoir terminé les leçons sur cookies, CORS et CSRF.
- Utiliser une bibliothèque JOSE maintenue dans un laboratoire isolé.
Compétences visées
- Différencier format, signature, chiffrement et protocole.
- Définir un validateur strict pour un profil précis.
- Organiser rotation, révocation et stockage selon les menaces.
- Documenter les refus et les limites avec des preuves reproductibles.
Programme du cours
- 01 · 90 min
01. JWT : représentation et confiance
Séparer décodage, validation et interprétation métier.
Ouvrir le module → - 02 · 90 min
02. JWS : intégrité et détenteurs de clés
Comprendre ce que protège une signature ou un MAC.
Ouvrir le module → - 03 · 90 min
03. JWE et composition des protections
Choisir un chiffrement authentifié sans confondre ses garanties.
Ouvrir le module → - 04 · 90 min
04. Claims et profil de jeton d’accès
Relier chaque affirmation au consommateur prévu.
Ouvrir le module → - 05 · 90 min
05. Algorithmes imposés et profils disjoints
Empêcher le jeton reçu de choisir lui-même sa politique de validation.
Ouvrir le module → - 06 · 90 min
06. JWK, kid et choix des clés
Résoudre une référence de clé dans un périmètre maîtrisé.
Ouvrir le module → - 07 · 90 min
07. Discovery, cache JWKS et rotation
Concilier renouvellement des clés et maîtrise de la confiance.
Ouvrir le module → - 08 · 90 min
08. ID token et access token
Éviter les substitutions entre identité du client et accès à une API.
Ouvrir le module → - 09 · 90 min
09. Stockage, XSS et CSRF
Choisir un modèle de session selon les menaces du navigateur.
Ouvrir le module → - 10 · 90 min
10. Expiration, révocation et incident
Définir le délai réel de retrait d’accès.
Ouvrir le module → - 11 · 90 min
11. Refresh tokens, réutilisation et protocole OAuth
Traiter le renouvellement comme un cycle sensible.
Ouvrir le module → - 12 · 90 min
12. Matrice de tests et preuves JWT
Démontrer les refus sans exposer les secrets.
Ouvrir le module →
Projet de synthèse
API de réservation avec fournisseur d’identité
Concevez le contrat de jeton d’une API et ses tests avec un émetteur de laboratoire. Aucun secret réel ne doit entrer dans les fixtures.
- Profil et frontières émetteur/client/API documentés.
- Algorithmes, clés, issuer, audience et temps validés.
- Rotation et incident de clé simulés.
- Refus de profils croisés et absence d’effet métier prouvés.
Voir une proposition de correction
Définissez d’abord qui émet pour quelle API. Configurez une bibliothèque reconnue avec clés et algorithmes attendus. Utilisez une horloge injectée et des clés de test pour produire des cas positifs et négatifs. Vérifiez la décision métier après validation, puis simulez rotation et révocation selon le délai de risque accepté.
Examen blanc final
24 questions originales · 50 minutes · objectif pédagogique : 75 %. Les questions et choix sont mélangés. Le temps commence au clic sur Démarrer ; à expiration, les réponses sont corrigées automatiquement. Une question sans réponse vaut 0 point.
Examen d’entraînement indépendant. Le nombre de questions, la durée et le seuil sont des choix pédagogiques DIGITAL AVENIR, sans équivalence avec un barème officiel. Les réponses sont présentes dans la page pour l’autoformation ; aucun titre de certification n’est délivré.
Accéder à l’examen blanc →