Auditer une authentification JWT : pièges courants et code corrigé

Prompt

Agis comme un ingénieur en sécurité applicative spécialisé dans l’authentification des API.

Analyse cette implémentation d’authentification JWT :
{{code}}

Contexte :
- Stack et bibliothèque JWT : {{stack}}
- Type de client : {{client}}
- Émetteur des jetons : {{emetteur}}

Livrables :
1. Des constats avec gravité (critique, haute, moyenne, basse), extrait concerné, risque expliqué en une phrase et correction. Vérifie au minimum :
   - La vérification de signature avec une liste explicite d’algorithmes autorisés ; le rejet de `alg: none` et de la confusion entre algorithmes symétriques et asymétriques.
   - La validation de `exp`, `nbf`, `iss` et `aud`, avec une faible tolérance de décalage d’horloge.
   - La durée de vie de l’access token et l’usage de refresh tokens avec rotation et détection de réutilisation.
   - La révocation et la déconnexion : liste de blocage, version de session ou jetons à durée courte.
   - Le stockage côté client : `localStorage` ou cookie `HttpOnly`, `Secure`, `SameSite`, et la protection CSRF qu’exige chaque option.
   - Les secrets et clés : robustesse, lieu de stockage, rotation avec `kid` ou JWKS.
   - Les données sensibles dans le payload (seulement encodé, pas chiffré) et la taille du jeton.
   - La gestion des erreurs : messages qui ne divulguent rien et journaux sans jetons complets.
2. Le code corrigé pour ma stack, avec une bibliothèque maintenue et sans cryptographie maison.
3. Des tests automatisés pour chaque constat critique ou haut : jeton expiré, signature invalide, `alg` non autorisé, audience incorrecte et refresh token réutilisé.
4. Un ordre de priorité des corrections si je ne peux pas tout faire d’un coup.

Contraintes :
- N’affirme pas que le système est désormais totalement sûr ; recommande une revue de sécurité ou un test d’intrusion avant la production s’il traite des données sensibles.
- S’il manque une partie du flux (émission, refresh ou déconnexion), demande-la avant de conclure ou indique [À COMPLÉTER].
- Ne reproduis jamais de vrais secrets présents dans le code : remplace-les par des marqueurs.

Comment l'utiliser

Exemple d'utilisation

Exemple de résultat

const jwt = require('jsonwebtoken');

const VERIFY_OPTS = {
  algorithms: ['HS256'],                 // ne jamais se fier à l’alg annoncé par le jeton
  issuer: 'https://api.exemple.fr',      // [À COMPLÉTER]
  audience: 'spa-exemple',               // [À COMPLÉTER]
  clockTolerance: 30,                    // secondes de décalage d’horloge
};

function requireAuth(req, res, next) {
  const token = req.cookies?.access_token; // cookie HttpOnly, Secure, SameSite
  if (!token) return res.status(401).json({ error: 'unauthorized' });
  try {
    const { sub, role } = jwt.verify(token, process.env.JWT_SECRET, VERIFY_OPTS);
    req.user = { id: sub, role };
    return next();
  } catch {
    return res.status(401).json({ error: 'unauthorized' }); // aucun détail côté client
  }
}

Informations clés

Catégorie

Programmation et développement · API

Type de résultat

Code

Niveau

Avancé

Conçu pour

ChatGPT, Claude, Gemini et Microsoft Copilot

Vérifié sur

En attente de vérification éditoriale

Variables

Code actuel, Stack et bibliothèque, Type de client et Émetteur des jetons

Langue

Français

Prix

Gratuit, sans inscription

Mis à jour

07/11/2026

Questions fréquentes