Outils de développement · Décodeur JWT
Pourquoi les jetons d'accès de courte durée sont importants : les JWT ne peuvent pas être révoqués une fois émis
· Pourquoi c'est important
jwt authentification sécurité
Un jeton autonome est valide jusqu'à son expiration, quoi qu'il arrive entre les deux. Cet article explique le problème de révocation, les atténuations disponibles et pourquoi exp est la revendication la plus importante que vous définissez.
Déconnexion qui ne se déconnecte pas : le jeton qui continue de fonctionner après la fin de la session
La déconnexion peut supprimer la copie locale d'un navigateur tandis qu'un jeton autonome précédemment émis reste acceptable pour un vérificateur qui vérifie uniquement la signature et les réclamations. L'expérience utilisateur indique « déconnecté », mais un autre titulaire peut conserver les mêmes informations d'identification compactes jusqu'à ce qu'une limite de politique l'arrête.
Ce n'est pas quelque chose qu'un décodeur peut résoudre. ToolAcre peut afficher une valeur `exp` et la qualifier d'expirée par rapport à l'horloge du navigateur, mais il n'a pas de magasin de session, de liste de refus ou de connexion à l'émetteur. Le comportement de révocation appartient à l’architecture qui émet et consomme les informations d’identification.
Vérification apatride et son prix — pas de liste centrale signifie pas de kill switch central
La vérification sans état permet à un serveur de ressources d'évaluer le matériel cryptographique et les revendications sans interroger un enregistrement de session central pour chaque demande. La suppression de cette recherche supprime également un commutateur naturel par session, à moins qu'un autre mécanisme avec état ne soit ajouté. Le commerce est architectural, pas une propriété visible dans JSON seul.
Un jeton peut contenir `jti`, mais l'identifiant n'a aucun effet de révocation jusqu'à ce qu'un vérificateur consulte un magasin ou une règle de confiance. De même, une signature peut rester mathématiquement valide après la désactivation d'un compte. L'acceptation de l'application nécessite la politique actuelle, et pas seulement la preuve que certains octets historiques signés par la clé.
La conception d'expiration et d'actualisation peut limiter l'exposition, mais ce référentiel ne définit aucune durée de vie standard
Les systèmes combinent souvent un identifiant d'accès limité avec un mécanisme d'actualisation distinct, mais ce référentiel ne définit pas de durée de vie universelle ni ne prétend qu'une durée est raisonnable. Les risques, l'expérience utilisateur, la détection et les contraintes d'infrastructure diffèrent, c'est pourquoi cet article n'invente pas de conseils sur la durée de vie des jetons.
Le principe est plus étroit : une limite d'expiration peut limiter la durée pendant laquelle un jeton d'accès volé reste utile si le vérificateur applique un `exp` authentifié. Le traitement d'actualisation peut alors consulter davantage d'état avant de délivrer un autre identifiant. ToolAcre affiche uniquement les réclamations ; il n'effectue ni application ni actualisation.
Listes de refus par jti – État de réintroduction pour les cas nécessitant une révocation immédiate
Une liste de refus saisie par `jti` peut réintroduire un point de décision immédiat pour les jetons sélectionnés. Cela nécessite un identifiant unique, un chemin d'insertion fiable, une disponibilité du stockage et une politique de recherche de vérificateur. Le simple décodage d'un `jti` ne montre pas son unicité ni ne prouve qu'un magasin le contient.
Le même état peut prendre en charge l'invalidation à l'échelle du compte ou spécifique à une session, en fonction de la conception. Il restaure également les dépendances opérationnelles évitées par la vérification sans état. Évaluez explicitement les défaillances, la rétention et la propagation du cache plutôt que de présenter une liste noire comme une bascule gratuite.
Introspection et rotation des clés : demander à l'émetteur ou tout invalider en même temps
L'introspection demande à une autorité l'état actuel du jeton, transformant l'acceptation en une décision en ligne. La rotation des clés peut arrêter la vérification sous les clés supprimées, mais elle peut invalider plusieurs jetons à la fois et ne constitue pas un substitut précis à la révocation de session. Ces mécanismes résolvent différents problèmes opérationnels.
ToolAcre ne connaît rien de leur état actuel. Un émetteur décodé, un identifiant de clé ou une expiration peuvent aider à localiser les enregistrements pertinents, mais le panel ne contacte jamais un émetteur et ne vérifie jamais une signature. Utilisez la télémétrie de service faisant autorité pour savoir si un jeton est actif, révoqué ou rejeté.
Exemple concret : calculer l'intervalle déclaré sans juger s'il est raisonnable
Pour un exemple contrôlé, soustrayez le chiffre `iat` de `exp` pour calculer l'intervalle réclamé par la charge utile. Si `iat` est 1,717,243,200 et `exp` est 1,717,246,800, la différence est de 3,600 secondes. ToolAcre affiche également chaque valeur sous forme d'instant ISO.
L'arithmétique ne juge pas l'intervalle. Il ne peut pas prouver que l'une ou l'autre des réclamations a été émise par la partie attendue, et le référentiel ne fournit aucune durée de vie recommandée. Comparez les valeurs authentifiées avec votre politique documentée uniquement après vérification, puis testez comment la déconnexion et l'état de révocation affectent les demandes réelles.
Ce que cela ne couvre pas : actualiser le stockage et la rotation des jetons, qui constituent leur propre problème de conception.
Le stockage des jetons d'actualisation, la rotation et la détection de relecture sont des sujets de conception distincts. Un jeton d'actualisation peut être opaque, avoir un traitement différent et ne doit pas être envoyé à une API de ressource simplement parce qu'un jeton d'accès est rejeté. Ce décodeur est spécifiquement conçu autour d'une entrée de type JWS en trois parties.
N'y collez pas les informations d'identification d'actualisation. Si un jeton d'actualisation est opaque, il se peut qu'il n'y ait rien d'utile à décoder ; si elle est structurée, la divulgation crée toujours un risque lié aux titres de compétences. Diagnostiquez les flux d’émission à l’aide des outils et des journaux fiables du fournisseur.
L'expiration est l'un des leviers parmi la vérification, l'état de révocation et la conception des informations d'identification.
L'expiration est utile, mais ne constitue pas une stratégie de révocation complète ni un verdict de décodeur. Le système consommateur doit authentifier le jeton, appliquer la politique de temps et d'audience et consulter tout état de révocation requis par son architecture. Chaque mécanisme a une disponibilité et des conséquences opérationnelles.
Utilisez ToolAcre uniquement pour observer les valeurs d'un jeton sécurisé. Il peut répondre : « quel intervalle cette charge utile réclame-t-elle ? » Il ne peut pas répondre « cette demande doit-elle être acceptée maintenant ? ou "cette session est-elle révoquée?" Ces questions appartiennent aux services de confiance.