Liste de contrôle de sécurité JWT

• Rejetez alg=none et les algorithmes inattendus ; n'autorisez que l'algorithme attendu.
• La charge utile n'est pas chiffrée : n'y placez jamais de mots de passe, de données personnelles ni d'autres secrets.
• Gardez une durée de vie courte avec exp, et contrôlez la fenêtre de validité et la réutilisation avec nbf et jti.
• En vérifiant la signature, contrôlez aussi que iss et aud correspondent à vos valeurs attendues.
• Les secrets doivent être longs et aléatoires, et ne jamais être exposés au client.

Associés