Bearer Token
B
Definition complete
Un Bearer Token est un jeton d'authentification transmis dans l'en-tête HTTP Authorization pour sécuriser les appels API. Le terme "bearer" (porteur) signifie que la simple possession du token suffit pour accéder aux ressources protégées, sans vérification supplémentaire de l'identité du porteur. Format standard : "Authorization: Bearer ". Les Bearer Tokens sont au cœur du protocole OAuth 2.0 et sont souvent implémentés sous forme de JWT (JSON Web Token) contenant des claims signés (identifiant utilisateur, permissions, expiration). La sécurité repose entièrement sur la confidentialité du token : il doit être transmis uniquement via HTTPS, stocké de manière sécurisée (httpOnly cookies plutôt que localStorage), et avoir une durée de vie limitée avec mécanisme de refresh token. En cas de compromission, le token doit pouvoir être révoqué côté serveur. Les tokens expirent généralement après 15 minutes à 1 heure, le refresh token permettant d'en obtenir un nouveau sans réauthentification.
Exemples pratiques
["Requête API avec header Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9... pour accéder aux données utilisateur", "Flow OAuth 2.0 où l'utilisateur autorise une app tierce qui reçoit un access token pour appeler l'API au nom de l'utilisateur", "API mobile utilisant un bearer token stocké en Keychain (iOS) ou Keystore (Android) avec refresh automatique à expiration"]
A quoi sert Bearer Token ?
["Implémenter l'authentification JWT avec access token (15min) et refresh token (7 jours) pour une API REST sécurisée", "Configurer le stockage sécurisé des tokens côté client : httpOnly cookie pour le web, Keychain/Keystore pour mobile", "Mettre en place la révocation de tokens via blacklist Redis pour déconnecter immédiatement les sessions compromises"]
Bearer Token en pratique chez 123web
Traitez les Bearer Tokens comme des mots de passe : transmettez-les uniquement via HTTPS, stockez-les de manière sécurisée (httpOnly cookie), limitez leur durée de vie et implémentez un mécanisme de refresh transparent pour l'utilisateur.