JSON Web Token (JWT)

Remarque

Spécification de l'IETF qui définit le jeton web JSON (JWT), moyen compact de représenter des revendications, signées ou chiffrées, transférées entre deux parties.

Résumé

Objet

La RFC 7519 de l’IETF (mai 2015) définit le jeton web JSON (JSON Web Token, JWT) :

Les « revendications » (claims, des paires nom-valeur affirmées sur un sujet) sont encodées dans un objet JSON, qui peut être signé au moyen d’une signature web JSON (JWS), protégé par un code d’authentification ou chiffré RFC 7519, Abstract RFC 7519, § 2. Terminology.

À qui ça s’applique

La RFC elle-même n’impose rien au titre d’eIDAS. Trois actes du corpus y renvoient.

• Fournisseurs de PID. Ils veillent à ce que les données d’identification personnelle (PID) délivrées soient conformes à l’annexe du règlement d’exécution 2024/2977 Art. 3 §3. Au format SD-JWT VC, les revendications JWT nbf et exp, définies dans la RFC, doivent exprimer la période de validité technique de la PID Annexe.
• Fournisseurs de portefeuille. Ils veillent à ce que les attestations d’unité de portefeuille soient conformes à l’annexe I ter du règlement d’exécution 2024/2979 Art. 6 §2. Selon cette annexe, l’attestation d’instance de portefeuille et l’attestation de clé doivent chacune être un JWT au sens de la RFC, signé ou cacheté par le fournisseur de portefeuille au moyen d’une signature JAdES compacte de niveau de base B Annexe I ter.
• États membres (enregistrement des parties utilisatrices). Les États membres mettent en œuvre les certificats d’enregistrement de partie utilisatrice de portefeuille dans le respect de l’annexe V du règlement d’exécution 2025/848 Art. 8 §2, e). Cette annexe prévoit que leur format d’échange de données est signé aux formats JWT (RFC 7519) et CWT (RFC 8392) Annexe V.

Points clés

• Validité technique de la PID. nbf (not before) fixe le moment avant lequel le jeton ne doit pas être accepté ; exp (expiration time) celui à partir duquel il ne doit plus l’être RFC 7519, § 4.1.5. "nbf" (Not Before) Claim RFC 7519, § 4.1.4. "exp" (Expiration Time) Claim. Leur usage est facultatif dans la RFC RFC 7519, § 4.1.4. "exp" (Expiration Time) Claim ; l’acte l’impose pour la PID SD-JWT VC Annexe.
• Format des dates. La valeur de ces revendications est une NumericDate : le nombre de secondes écoulées depuis le 1er janvier 1970 à 00:00:00 UTC RFC 7519, § 2. Terminology.
• Maintien de l’état de révocation. L’attestation d’instance porte une revendication client_status, et l’attestation de clé une revendication key_storage_status. Chacune contient un sous-champ exp, une NumericDate au sens de la RFC, qui indique jusqu’à quand le fournisseur maintiendra l’état de révocation de l’instance de portefeuille (ou du WSCD ou du magasin de clés) dans la liste d’états Annexe I ter. L’acte précise que le exp de premier niveau de l’attestation indique quand l’attestation elle-même expire, et qu’il ne doit pas être lu comme la fin de cette période Annexe I ter.
• Lien avec OpenID4VCI. L’attestation d’instance de portefeuille est aussi une attestation de portefeuille au sens de l’appendice E de la spécification OpenID4VCI, étendue par l’annexe ; l’attestation de clé suit son appendice D Annexe I ter.

Clauses visées par les actes

• Revendications nbf et exp, sans numéro de clause : règlement d’exécution 2024/2977 Annexe.
• Définition du JWT et de la NumericDate, sans numéro de clause : annexe I ter du règlement d’exécution 2024/2979 Annexe I ter.
• Renvoi général : annexe V du règlement d’exécution 2025/848 Annexe V.
• Le règlement d’exécution 2026/1731 a remplacé l’annexe du règlement d’exécution 2024/2977 ; il a aussi remplacé les paragraphes 1 et 2 de l’article 6 du règlement d’exécution 2024/2979 et ajouté son annexe I ter Règlement d'exécution (UE) 2026/1731 ; ce résumé cite les versions consolidées qui intègrent ces changements.

Liens

• Actes qui y renvoient : règlements d’exécution 2024/2977 Règlement d'exécution (UE) 2024/2977 — version consolidée au 11/08/2026, 2024/2979 Règlement d'exécution (UE) 2024/2979 — version consolidée au 11/08/2026 et 2025/848 Règlement d'exécution (UE) 2025/848 — version consolidée au 11/08/2026.
• Normes liées : RFC 7515, signature JWS RFC 7515 ; RFC 7800, revendication cnf RFC 7800 ; RFC 8392, jeton CWT RFC 8392 ; OpenID4VCI 1.0 OpenID4VCI 1.0.
• Parcours : étape 3, le portefeuille européen.

Rédaction Asphalia.