Claims JWT
Les paires clé-valeur du payload d'un JWT. La RFC 7519 définit des noms courts standardisés (3 lettres).
Claims standard : iss (issuer — émetteur), sub (subject — identifiant utilisateur), aud (audience — destinataire prévu du jeton), exp (expiration, timestamp Unix), iat (issued at — date d'émission), nbf (not before), jti (identifiant unique du jeton, pour la révocation). OIDC ajoute email, name, preferred_username. Claims privées (personnalisées) : utiliser une URI ou un nom de domaine pour éviter les collisions (https://votre-app.com/role). Toujours valider aud + exp + la signature — un oubli fréquent qui ouvre la voie à l'élévation de privilèges.