Quelle description d'un JWT (JSON Web Token) signé typique est correcte ?

Réponse : C. C'est un en-tête, une charge utile et une signature codés en Base64URL et reliés par des « . » ; la signature permet de détecter une falsification, mais le contenu n'est pas chiffré

Un JWT comporte trois parties, « en-tête.charge utile.signature » : l'en-tête contient l'algorithme de signature (par exemple HS256), et la charge utile des informations (claims) comme l'identifiant de l'utilisateur et la date d'expiration (exp). La signature est calculée à partir de l'en-tête et de la charge utile avec une clé secrète ; le serveur qui reçoit le jeton peut ainsi vérifier que le contenu n'a pas été falsifié et qui l'a émis. Cependant, Base64URL n'est pas un chiffrement : n'importe qui peut le décoder et le lire, et l'on n'y met donc aucune information secrète. Pour l'envoyer à une API, on place généralement le jeton après Authorization: Bearer.