ToonWebToken : jetons d'authentification modernes
Post-quantique réel & aligné IETF
Un format de jeton d'authentification compact et multi-langage dont les revendications sont encodées en TOON. HMAC-SHA256 (FIPS 198-1) en v1 aujourd'hui, ML-DSA-65 (FIPS 204) réel sur 14 SDKs pour la v2. Conçu en défense en profondeur : anti-rejeu, anti-SSRF, limitation de débit, révocation, journal d'audit chaîné HMAC.
Pourquoi ToonWebToken
Six piliers qui distinguent TWT du JWT et des formats équivalents.
Format TOON
Un encodage compact et lisible qui supprime jusqu'à ~40 % des octets d'un jeton JSON équivalent — et environ 30 % de tokens LLM en moins à l'inférence.
Post-quantique réel
La v1 livre HMAC-SHA256 (FIPS 198-1). La v2 utilise ML-DSA-65 réel (FIPS 204) — keygen, sign, verify en direct sur 14 SDKs via liboqs, circl, BouncyCastle et noble-post-quantum.
Identifiants UUID v7
Triables temporellement, conformes RFC 9562. Meilleure localité en base que l'UUID v4 et une traçabilité d'audit propre.
Optimisé LLM
~30 % de tokens LLM en moins qu'un JSON équivalent lors du passage par une passerelle LLM. Coût moindre, débit supérieur, prompts plus courts.
Défense en profondeur
Parser TOON borné, cache anti-rejeu, validateur d'URL anti-SSRF, limiteur de débit, détecteur de honeypot, service de révocation, audit chaîné HMAC. 81/81 items de remédiation AppSec clôturés.
Internet-Draft IETF v2
Draft-02 décrit HS256 (obligatoire) et MLDSA65 (optionnel). 14 implémentations valident des vecteurs de test reproductibles octet pour octet. Double licence MIT/Apache-2.0.
TWT vs JWT, côte à côte
Une vue compacte de ce qui change quand on adopte TWT.
| Critère | JWT | ToonWebToken |
|---|---|---|
| Format filaire | JSON (verbeux) | TOON (~40 % plus compact) |
| Post-quantique | Pas de standard | ML-DSA-65 réel sur 14 SDKs (FIPS 204) |
| Couverture SDK | 3–5 langages typique | 16 langages (6 prod + 8 supplémentaires + 2 frontend) |
| Identifiants | UUID v4 (aléatoire) | UUID v7 (triables temporellement) |
| Optimisation LLM | Non optimisé | ~30 % de tokens LLM en moins |
| Anti-rejeu | Optionnel / ad hoc | Cache natif |
| Révocation | Non native | Service intégré |
| Audit | Externe | Chaîné HMAC, dans le SDK |
| Standardisation | RFC 7519 | IETF Draft-02 (HS256 + MLDSA65) |
Structure d'un jeton
Un ToonWebToken est composé de trois segments encodés en Base64URL séparés par des points :
typ, alg, ver, kid, iat, exp, jti subject, claims, security, custom HMAC-SHA256 (v1) — ML-DSA-65 (v2, réel) Bâti sur des standards
Démarrer
Choisissez le SDK adapté à votre stack, décodez un jeton de démonstration ou consultez la feuille de route.