Jeton

Sécurisation des requêtes effectuées auprès du Core.

Un client Flower, comme la GUI, nécessite d’être authentifié pour pouvoir communiquer avec le Core. Cette authentification est soumise sous la forme d’un jeton JWT.


Un jeton est généré par le Core et est signé grâce à un HMAC calculé à partir de l’agorithme de hashage SHA-256 et d’une clé secrète.

A chaque requête reçue, le Core valide le jeton fourni et est validé à l’aide de la clé secrète.


Par défaut, cette clé secrète est générée au démarrage du Core de manière aléatoire (sur 32 caractères). Il est conseillé de la définir dans le fichier flowerdocs.properties grâce au paramètre token.key.


Un jeton est valide pendant 3600s (soit 60 minutes) à partir du moment où il a été généré. Pour changer cette durée de validité, le paramètre token.expiration.time (durée en secondes) peut être défini au niveau du Core.


Dans certains cas, il peut être nécessaire d’inclure le mot de passe du compte utilisé dans le jeton généré. Cette configuration peut être activée à l’aide des paramètres :

  • Inclusion : token.password.include (valeur par défaut false)
  • Passphrase : token.password.passphrase
  • Iv : token.password.iv

La durée de vie du token doit être supérieure à celle de la session utilisateur pouvant être définie grâce à gui.session.timeout (secondes - valeur par défaut 1800)