1Définition

Après la connexion, le serveur remet un jeton que le client présente à chaque requête. Deux familles : la session (un identifiant aléatoire, dont le serveur garde l'état en base) et le jeton signé (tout le contenu dans le jeton, protégé par une signature HMAC, comme un JWT).

2Principes fondamentaux

3Exemples pratiques

1// Session : cookie "session=8f3a…" → le serveur cherche 8f3a… en base2// Jeton signé : "eyJwc2V1ZG8i….DBzD0Dp8…" → le serveur vérifie la signature

1Set-Cookie: session=8f3a…; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=86400

4Erreurs courantes

const donnees = JSON.parse(atob(jeton.split('.')[0]));

vérifier la signature avant toute lecture

{ pseudo: "codey" }  // sans exp

{ pseudo: "codey", exp: maintenant + 900 }

localStorage.setItem("jeton", jeton)

cookie HttpOnly

5Subtilités à connaître

• ◆L'algorithme « none » des JWT a longtemps permis de contourner des bibliothèques mal réglées : on impose l'algorithme attendu à la vérification.
• ◆Un jeton de rafraîchissement, à longue durée et stocké à part, permet d'obtenir de nouveaux jetons courts sans redemander le mot de passe.
• ◆Supabase, un fournisseur très utilisé, délivre des JWT signés et gère leur renouvellement ; Sys-Code, lui, gardera ses sessions dans sa propre base, avec Better Auth.

6Vérifie ta compréhension