JWT et OAuth 2.0 : sécuriser vos APIs Node.js et vos authentifications en 2026

La sécurité des APIs est l'un des enjeux les plus critiques du développement web moderne. JSON Web Tokens et OAuth 2.0 forment en 2026 le duo de référence pour authentifier vos utilisateurs et autoriser vos services de façon stateless, scalable et interopérable. Que vous construisiez une API REST avec Express, un backend Fastify ou une application Next.js, maîtriser ces deux standards est indispensable pour protéger vos données et celles de vos utilisateurs.

JWT : comprendre la structure et le cycle de vie d'un token

Un JSON Web Token est composé de trois parties encodées en Base64 et séparées par des points : le header (algorithme et type), le payload (claims : identifiant utilisateur, rôles, date d'expiration) et la signature (HMAC SHA-256 ou RSA). Cette structure compacte permet au serveur de vérifier l'authenticité du token sans interroger une base de données à chaque requête, ce qui rend les architectures stateless et horizontalement scalables. En 2026, l'algorithme RS256 avec une paire de clés asymétriques est recommandé pour les APIs publiques, car il permet de vérifier les tokens sans exposer la clé privée. Les claims standardisés comme iss, sub, exp et aud garantissent l'interopérabilité entre services et doivent toujours être validés côté serveur avant toute autorisation.

OAuth 2.0 : les flux d'autorisation adaptés à chaque cas d'usage

OAuth 2.0 définit plusieurs flux d'autorisation selon le contexte applicatif. L'Authorization Code Flow avec PKCE (Proof Key for Code Exchange) est le standard recommandé pour les applications web et mobiles : il protège contre l'interception du code d'autorisation même dans des environnements non sécurisés. Le Client Credentials Flow convient aux communications machine-à-machine, comme entre deux microservices ou un worker et une API interne, sans intervention utilisateur. Le Device Authorization Flow est destiné aux appareils sans navigateur (TV, CLI). En 2026, le flux implicite et le Resource Owner Password Grant sont officiellement dépréciés par la RFC 9700 et ne doivent plus être utilisés dans de nouveaux projets car ils exposent les tokens d'accès dans l'URL ou transmettent les credentials directement au serveur d'autorisation.

Implémenter JWT dans une API Node.js : access token et refresh token

La bibliothèque jsonwebtoken reste la référence pour générer et vérifier des JWT dans Node.js, complétée par jose pour les environnements edge comme Cloudflare Workers ou Deno. La stratégie à deux tokens est aujourd'hui le standard : un access token à courte durée de vie (15 minutes) pour autoriser les requêtes API, et un refresh token opaque à longue durée (30 jours), stocké en base de données et rotatif. Lors du renouvellement, le refresh token précédent est invalidé (rotation) et remplacé par un nouveau, ce qui permet de détecter les tentatives de réutilisation d'un token volé. Côté stockage client, les access tokens sont conservés en mémoire JavaScript et les refresh tokens dans un cookie HttpOnly + SameSite=Strict pour les protéger des attaques XSS. Dans Express ou Fastify, un middleware de vérification JWT valide la signature, l'expiration et les claims iss et aud avant d'injecter l'identité utilisateur dans le contexte de la requête.

Les bonnes pratiques de sécurité à ne pas négliger en 2026

La durée de vie des access tokens doit rester courte pour limiter la fenêtre d'exploitation en cas de vol. Activez le rate limiting sur l'endpoint de connexion et de renouvellement de token pour contrer les attaques par force brute. Implémentez une liste de révocation (blocklist) pour invalider immédiatement les refresh tokens lors d'une déconnexion ou d'un changement de mot de passe. Validez scrupuleusement l'en-tête Authorization : vérifiez que l'algorithme correspond à celui attendu pour prévenir les attaques par confusion d'algorithme (comme l'utilisation de alg: none). Utilisez HTTPS partout et ajoutez des en-têtes de sécurité HTTP (Content-Security-Policy, Strict-Transport-Security) pour renforcer la surface d'attaque globale. Enfin, auditez régulièrement vos dépendances avec npm audit et activez les alertes Dependabot sur GitHub pour ne jamais laisser une vulnérabilité connue non corrigée dans votre chaîne d'authentification.