CBOR Web Token (CWT)

Remarque

Spécification de l'IETF qui définit le jeton web CBOR (CWT), moyen compact de représenter des revendications en CBOR, protégées par COSE, dérivé du JWT.

Résumé

Objet

La RFC 8392 de l’IETF (mai 2018) définit le jeton web CBOR (CBOR Web Token, CWT) :

Les revendications (claims) y sont encodées en CBOR, un format binaire compact, et protégées par COSE, le mécanisme de signature et de chiffrement des objets CBOR. Le CWT dérive du jeton JWT, mais utilise CBOR au lieu de JSON RFC 8392, Abstract.

À qui ça s’applique

La RFC elle-même n’impose rien au titre d’eIDAS. Elle intervient par le règlement d’exécution 2025/848, relatif à l’enregistrement des parties utilisatrices de portefeuille.

• Les États membres mettent en œuvre les certificats d’enregistrement de partie utilisatrice de portefeuille dans le respect de l’annexe V de ce règlement Art. 8 §2, e). Ils autorisent au moins une autorité de certification à délivrer ces certificats Art. 8 §1.
• Un certificat d’enregistrement décrit l’utilisation prévue par la partie utilisatrice et les attributs qu’elle a déclaré vouloir demander aux utilisateurs Art. 2 §15.

Points clés

• Deux formats signés. L’annexe V prévoit que le format d’échange de données du certificat d’enregistrement est signé aux formats JSON Web Tokens (RFC 7519) et CBOR Web Tokens (RFC 8392) Annexe V.
• Un jeton proche du JWT. Le CWT reprend les revendications du JWT ; il vise des usages où JSON est jugé peu efficace, par exemple certains objets connectés à faible consommation RFC 8392, § 1. Introduction.
• Des clés courtes. Pour garder des jetons aussi petits que possible, les noms des revendications sont représentés par des entiers ou des chaînes de texte RFC 8392, § 3. Claims.
• Contenu laissé aux applications. L’ensemble des revendications qu’un CWT doit contenir dépend du contexte et sort du champ de la RFC RFC 8392, § 3. Claims.
• Étiquette CWT facultative. La RFC définit une étiquette CBOR qui permet de signaler qu’une structure est un CWT ; son usage est facultatif RFC 8392, § 6. CWT CBOR Tag.
• Autre mention du format. L’annexe II du règlement d’exécution 2024/2979 exige qu’une liste de révocation de l’objet de sécurité mobile (MSO) soit mise en œuvre sous forme de jeton de liste d’états au format CWT, sans citer la RFC 8392 Annexe II.

Clauses visées par l’acte

• L’annexe V du règlement d’exécution 2025/848 renvoie à la RFC dans son ensemble, sans numéro de clause Annexe V.

Liens

• Acte qui y renvoie : règlement d’exécution 2025/848 Règlement d'exécution (UE) 2025/848 — version consolidée au 11/08/2026.
• Normes liées : RFC 7519, jeton JWT RFC 7519 ; RFC 8949, CBOR RFC 8949 ; liste d’états des jetons, projet de l’IETF draft-ietf-oauth-status-list-20.
• Parcours : étape 3, le portefeuille européen.

Rédaction Asphalia.