Le jeton qui ne périme jamais

Contexte

En décodant un JWT intercepté sur une application de test (partie payload, sans vérifier la signature), tu obtiens :

{
  "sub": "42",
  "role": "user",
  "iat": 1700000000
}

Mission

Un champ standard, essentiel pour la sécurité d'un token, est absent de ce payload — sans lui, un token volé reste valide indéfiniment. Quel est le nom exact (3 lettres, la clé JSON telle qu'utilisée dans le standard JWT) de ce champ manquant ?