Les JSON Web Tokens (JWT) sont devenus la norme pour l'authentification sans état dans les applications web modernes. Cependant, leur commodité conduit souvent à des erreurs de configuration de sécurité critiques. Étant auto-contenus, tout serveur qui les vérifie fait confiance à la charge utile sans consulter une base de données centrale. Ce choix de conception exige des développeurs qu'ils soient méticuleux quant à la manière dont les jetons sont générés, transmis et validés. Ce guide présente les pratiques de sécurité essentielles pour prévenir les vulnérabilités courantes telles que l'interception de jetons, les attaques par confusion d'algorithme et l'accès non autorisé.
1. Utiliser des durées d'expiration courtes et des jetons de rafraîchissement
L'erreur la plus courante commise par les développeurs est d'émettre des JWT avec de longues durées d'expiration, telles que 24 heures ou plus. Si un jeton est volé, l'attaquant a accès pendant toute la durée de cette période de validité. À la place, utilisez un jeton d'accès à durée de vie courte (par exemple, 15 minutes) combiné à un jeton de rafraîchissement à durée de vie plus longue.
Le jeton d'accès gère les requêtes API immédiates, tandis que le jeton de rafraîchissement, stocké en toute sécurité côté serveur, est utilisé pour émettre de nouveaux jetons d'accès. Cela limite la fenêtre d'opportunité pour un attaquant. Si vous devez émettre des jetons à longue durée de vie, assurez-vous d'avoir un mécanisme pour mettre sur liste noire les jetons compromis dans un cache distribué comme Redis.
2. Imposer HTTPS et les cookies HttpOnly
Ne transmettez jamais de JWT dans l'URL ou en tant que paramètres de requête, car ils peuvent être journalisés dans les journaux d'accès du serveur ou l'historique du navigateur. Pour les applications web, stocker le jeton dans un cookie httpOnly et Secure est l'approche la plus sûre. Cela empêche les attaques par script côté client (XSS) de lire le jeton via JavaScript. Pour les applications mobiles ou natives, où les cookies sont moins pratiques, stockez le jeton dans un stockage sécurisé (comme le Keychain iOS ou le Keystore Android) et utilisez toujours HTTPS.
3. Verrouiller l'algorithme pour prévenir les attaques par confusion
Une vulnérabilité significative se produit lorsqu'un serveur accepte n'importe quel algorithme fourni dans l'en-tête JWT. Les attaquants peuvent changer l'algorithme de RS256 (asymétrique) à HS256 (symétrique) et signer le jeton avec la clé publique, que le serveur pourrait utiliser à tort comme clé secrète. Pour prévenir cela, vérifiez explicitement que l'algorithme dans l'en-tête du jeton correspond à l'algorithme attendu.
import jwt from 'jsonwebtoken';
const verifyToken = (token, publicKey) => {
try {
// Définir explicitement les algorithmes autorisés
const decoded = jwt.verify(token, publicKey, {
algorithms: ['RS256']
});
return decoded;
} catch (err) {
// Gérer les jetons invalides ou les mauvais algorithmes
throw new Error('Échec de la vérification du jeton');
}
};4. Faire tourner les clés de signature régulièrement
Si votre clé de signature est compromise, tous les jetons émis précédemment restent valides jusqu'à leur expiration. Pour atténuer ce risque, implémentez la rotation des clés. Utilisez des identifiants de clé (kid) dans l'en-tête JWT pour identifier quelle clé a signé le jeton. Cela vous permet de distribuer plusieurs clés publiques et de faire tourner les secrets sans invalider toutes les sessions existantes. Les systèmes de gestion de clés automatisés comme HashiCorp Vault peuvent aider à gérer ce processus en toute sécurité.
5. Valider strictement les revendications
Validez toujours les revendications iss (émetteur) et aud (audience). Sans cela, un jeton émis par le Service A pourrait potentiellement être utilisé pour accéder au Service B s'ils partagent la même clé de signature. Assurez-vous que votre logique de validation vérifie ces revendications par rapport aux valeurs attendues pour votre environnement d'application spécifique.
Conclusion
Sécuriser l'authentification JWT ne consiste pas seulement à encoder et signer ; il s'agit de gérer tout le cycle de vie du jeton. En implémentant des durées d'expiration courtes, en utilisant des mécanismes de stockage sécurisés, en verrouillant les algorithmes et en faisant tourner les clés, vous réduisez considérablement la surface d'attaque. Traitez toujours le JWT comme un justificatif de porteur — s'il tombe entre de mauvaises mains, il accorde un accès complet. Adoptez ces pratiques pour construire des systèmes d'authentification robustes et sécurisés auxquels les utilisateurs et les parties prenantes peuvent faire confiance.