Aller au contenu
uencoder

Bearer Token

Un jeton Bearer est un type de jeton qui fonctionne uniquement par possession : il est envoyé dans l'en-tête Authorization: Bearer <token>, de sorte que quiconque le détient peut l'utiliser, sans identifiants supplémentaires.

Objectif

Elle fournit un mécanisme d'authentification simple fondé sur des jetons, où le jeton lui-même sert d'identifiant.

Mécanisme

L'en-tête est Authorization : Bearer <token>. Le serveur valide la validité et les permissions du jeton. Le jeton peut être un JWT, un jeton opaque, etc. La sécurité repose sur HTTPS pour éviter toute fuite en transit et sur la durée de vie du jeton ; une fois divulgué, il peut servir à une usurpation d'identité.

Cas d’usage

  • Authentification Bearer d'API
  • Jeton d'accès OAuth 2.0
  • Transport de JWTs
  • Authentification de service à service

Exemples

  • entrée 
    Authorization: Bearer eyJ...
    Output 
    The server verifies the JWT signature and expiry

    Possession grants validity

Erreurs courantes

A leaked token is immediately used for impersonation
Use short lifetimes, HTTPS, and a revocation list

Termes associés

JWT
JWT (JSON Web Token) est un jeton compact et autonome qui transmet de façon sûre des affirmations en objet JSON, largement utilisé pour l'authentification sans état et l'échange d'informations.
GLOSSAIRE
OAuth
OAuth 2.0 est un cadre d'autorisation permettant à des applications tierces d'accéder aux ressources de l'utilisateur avec son consentement, sans partager de mots de passe, au moyen de jetons.
GLOSSAIRE
Basic Auth
L'authentification basique HTTP envoie le nom d'utilisateur et le mot de passe encodés en Base64 dans l'en-tête Authorization ; elle est simple mais doit être utilisée sur HTTPS.
GLOSSAIRE

Outils associés

Générateur de tokens Bearer
Construit un en-tête « Bearer <token> » (RFC 6750) à partir d'une chaîne de jeton. Le jeton est validé selon la syntaxe b64token : les caractères hors lettres, chiffres, -._~+/ et un « = » final sont rejetés (protège contre l'injection d'en-tête).
OUTIL
Encodeur JWT
Coder JWT with HS256. Free, private, 100% client-side. Not for server-side verification.
OUTIL

References