Vous avez déployé une application web Azure App Service et l'avez enregistrée dans Azure AD et Twitter. L'application authentifie les utilisateurs, nécessite SSL et utilise Twitter comme fournisseur d'identité. Pour valider la requête Azure AD dans le code de votre application, quel élément devez-vous valider ?

La signature du jeton d'identité (ID token) doit être validée pour garantir l'intégrité et l'authenticité du jeton. La signature numérique, généralement basée sur des certificats X.509, prouve que le jeton n'a pas été altéré depuis sa création par le fournisseur d'identité (Azure AD dans ce cas) et qu'il provient bien de ce fournisseur. L'en-tête du jeton d'identité contient des métadonnées sur le jeton (comme l'algorithme de signature), mais ne prouve pas son authenticité. Le code de réponse HTTP indique le succès ou l'échec de la requête, mais ne valide pas le contenu du jeton lui-même. L'ID du locataire est une information contenue dans le jeton (le "claim" tid), qui identifie le répertoire Azure AD, mais sa simple présence ne garantit pas l'authenticité du jeton. La validation de la signature est cruciale pour la sécurité.