Jusqu’au Forum PHP 2026, retrouvez nos interviews de speakers pour mieux comprendre leur parcours et le sujet qu’ils ou elles aborderont lors de leur conférence !

La conférence

Biscuit en PHP : un petit besoin d'authz, un long détour par Rust Biscuit, c'est un format de token d'autorisation pensé pour la délégation et la vérification offline. Atténuation sans clé privée, politiques exprimées en Datalog, cryptographie moderne. Une alternative sérieuse à JWT quand l'authz devient complexe. En 2021, je le découvre et je veux l'utiliser en PHP. Il existe déjà des implémentations en Rust, Go, Java, Haskell, WebAssembly, et même Python via PyO3. Mais rien côté PHP. Réécrire la spec à la main aurait pris des mois, alors que biscuit-rust est l'implémentation de référence. Je cherche l'équivalent du pont Python côté PHP et je tombe sur ext-php-rs. Le projet me plaît, je commence à contribuer, je finis comainteneur. J'en parle au Forum PHP 2022, persuadé que la suite ira vite. Octobre 2025. biscuit-php sort enfin. Cette conférence parle de Biscuit, de ce qu'il apporte à l'authz PHP, et du chemin qu'il a fallu pour l'y amener.

Ada Lovelace - G 08/10/2026 14:35-15:15

Tu nous présenteras la technologie Biscuit, pourrais-tu nous parler de son adoption au sein de l'écosystème ?

Biscuit token répond avant tout à une problématique de décentralisation pour la couche d'autorisation des systèmes informatiques. De ce fait, l'adoption est très sage. De grandes entreprises l'utilisent en production comme Clever Cloud ou 3DS Outscale (Groupe Dassault) et j'ai pu voir dans certaines PR de l'organisation qu'OpenAI et même Apple commencent à l'essayer. J'en parlerai en détail lors de ma conférence, mais dans le domaine de la sécurité les utilisateurs sont plutôt discrets. Pour PHP spécifiquement, quelques projets commencent à émerger sur des cas plus simples comme du partage de liens privés avec droit d'accès spécifique. Cependant, sur ce type de technologie, les implémentations disponibles incitent fortement les futurs usages, d'où l'extension PHP sur laquelle je travaille.

Est-ce que Biscuit pourrait un jour remplacer JWT dans tous ses usages ?

Honnêtement, et sans divulgâcher : non. En vulgarisant, un JWT transporte des faits statiques (identité, scopes, expiration) et c'est le code du vérifieur qui décide quoi en faire. Biscuit, c'est un conteneur + un langage d'autorisation (Datalog) + un modèle de délégation : la règle de décision voyage avec le jeton, et n'importe quel porteur peut la resserrer sans repasser par l'émetteur. Alors, remplacer son JWT dans un petit monolithe n'a pas réellement d'utilité : c'est avant tout un choix d'architecture. L'intérêt de Biscuit apparaît quand on veut supprimer les allers-retours incessants vers le service d'autorisation, voire fonctionner en isolation totale, de manière sécurisée et avec possibilité d'atténuation. Ça, JWT ne le fait pas. Mais, je consacrerai une diapo ou deux à ce sujet, évidement.

Tu es co-mainteneur de ext-php-rs, pourrais-tu nous présenter ce projet et est-ce que tu vois un avenir à Rust dans le moteur PHP ?

ext-php-rs permet d'écrire une véritable extension PHP en Rust, sans écrire une ligne de C : on est bien dans le moteur, pas dans un processus à côté. J'en suis co-mainteneur, et biscuit-php est construit dessus. Sur l'avenir de Rust dans le moteur, je distinguerais deux choses. Dans PHP lui-même : non, pas à horizon visible, car ça imposerait une toolchain Rust au core PHP, distributions comprises. Autour du moteur : oui, et c'est déjà en cours avec par exemple mago. L'intérêt de produire des extensions n'est pas la performance brute mais plutot l'accès à l'écosystème Rust. Réécrire array_map en Rust n'a aucun sens, mais exposer une bibliothèque qui n'existe pas en PHP, si. C'est exactement l'histoire de biscuit-php.

Une conférence présentée par

Pierre TONDEREAU

Pierre est dev backend senior chez Upsun (ex-Platform.sh). Comainteneur d'ext-php-rs, auteur de biscuit-php, il passe ses journées entre les internals PHP, Rust, et l'infrastructure cloud.

Autres interviews

• La parole est aux speakers : Kévin Dunglas
• La parole est aux speakers : Jori STEIN
• La parole est aux speakers : Thomas Dutrion
• La parole est aux speakers : Charlotte Chaumet
• La parole est aux speakers : Benjamin Eberlei
• La parole est aux speakers : Alexandre Daubois
• La parole est aux speakers : Michaël Benhaïm
• La parole est aux speakers : Sebastian Bergmann
• La parole est aux speakers : Yoann Blot
• La parole est aux speakers : Niels Ackermann
• La parole est aux speakers : Jean-François Lépine