Comment les jetons d'accès sont-ils gérés et protégés ?
amaise utilise des jetons sans état avec des durées de validité graduées :
Catégorie | Validité | Usage |
Court terme | Minutes | Jetons d'accès utilisateur, jetons base de données |
Moyen terme | Heures – jours | Jetons de rafraîchissement, sessions d'authentification |
Long terme | Configurable | Intégrations machine-à-machine (API) |
Tous les jetons sont signés RS256 (JWT) avec une liste blanche d’émetteurs et une validation de l’audience. Les jetons de rafraîchissement tournent à chaque renouvellement — l’ancien jeton devient immédiatement invalide.
Important : Les jetons sont stockés uniquement en mémoire dans le frontend — jamais dans localStorage ou sessionStorage. Cela les protège contre les attaques XSS visant les stockages persistants.
Il n’y a pas de sessions côté serveur (sans état). Cela exclut les attaques de détournement ou fixation de session.