Passer au contenu principal
Utilisez ce point de terminaison de découverte pour configurer votre application ou votre API afin de repérer automatiquement le point de terminaison JSON Web Key Set (JWKS) (jwks_uri), qui contient le JWKS utilisé pour signer tous les (JWT) émis par Auth0 et signés avec l’algorithme de RS256. Le point de terminaison se trouve à : https://{yourDomain}/.well-known/openid-configuration. Lorsque vous validez un JWT à l’aide d’un JWKS, vous devez :
  1. Récupérer le JWKS à partir du point de terminaison de découverte d’Auth0, puis filtrer les clés de signature potentielles (par exemple, les clés sans clé publique ou avec une propriété kid).
  2. Récupérer la propriété kid dans l’en-tête du JWT décodé.
  3. Rechercher dans le JWKS filtré la clé dont la propriété kid correspond.
  4. Générer un certificat à l’aide de la propriété x5c correspondante dans votre JWKS.
  5. Utiliser le certificat pour vérifier la signature du JWT.
Pour obtenir un exemple qui utilise JWKS pour vérifier la signature d’un JWT, consultez Navigating RS256 and JWKS (utilise Node.js), ou consultez nos guides de démarrage rapide Backend/API. Pour en savoir plus sur la structure d’un JWT, consultez Structure du JSON Web Token. Il est recommandé de supposer que plusieurs clés de signature peuvent être présentes dans votre JWKS. Cela peut sembler inutile, puisque le point de terminaison JWKS d’Auth0 contient généralement une seule clé de signature; toutefois, plusieurs clés peuvent se trouver dans le JWKS lors de la rotation des certificats de signature. Nous vous recommandons de mettre en cache vos clés de signature pour améliorer les performances de l’application et éviter d’atteindre les limites de débit, mais assurez-vous que si le décodage d’un jeton échoue, vous invalidez le cache et récupérez de nouvelles clés de signature avant de réessayer une seule fois.

​
En savoir plus