Décodeur JWT
Décodez l’en-tête et la charge utile d’un JSON Web Token. Le jeton n’est jamais envoyé nulle part
Chargement de l’outil…
Décode un JSON Web Token : collez-le pour voir l’en-tête et la charge utile en JSON, avec les claims temporels comme l’expiration convertis en dates lisibles. Utilisez-le pour vérifier le contenu d’un jeton et s’il a expiré quand une connexion ou un appel d’API échoue.
Mode d’emploi
- Collez un JWT commençant par eyJ dans « Jeton ». Un préfixe « Bearer » au début est ignoré.
- Examinez le JSON dans « En-tête » et « Charge utile », ainsi que la partie « Signature ».
- Dans le tableau « Claims », lisez les dates d’émission et d’expiration et un statut comme « Expiré » ou « En vigueur ».
- Pour vérifier si le jeton est digne de confiance, saisissez le secret ou la clé publique sous « Vérifier la signature (facultatif) ».
Fonctionnement
- Un JWT comporte trois parties séparées par des points : header.payload.signature. Les deux premières sont du JSON encodé en Base64url : on peut donc les lire sans clé. exp, nbf et iat sont des secondes écoulées depuis le 1er janvier 1970 (UTC).
- La vérification utilise Web Crypto pour HS, RS, PS et ES (256/384/512), et EdDSA quand le navigateur le prend en charge. Les clés publiques peuvent être fournies en PEM, sous forme de certificat, de JWK ou de JWKS. Les jetons avec alg « none » reçoivent un avertissement.
- Le décodage et la vérification s’exécutent dans votre navigateur ; le jeton et les clés ne sont ni enregistrés ni envoyés. Préférez malgré tout des jetons de test ou expirés aux jetons de systèmes en production.
Questions fréquentes
- Comment savoir quand un JWT expire ?
- Collez le jeton. « Date d’expiration » (exp) dans le tableau « Claims » indique la date et l’heure, et la colonne de statut affiche le temps restant ou « Expiré ».
- Un JWT est-il chiffré ?
- Un JWT classique (JWS) est signé, pas chiffré : n’importe qui peut donc lire son contenu. N’y mettez pas de mots de passe ni d’autres secrets. Un jeton en 5 parties est un JWE chiffré et ne peut pas être lu sans la clé.
- Le décodage prouve-t-il qu’un jeton est authentique ?
- Non. N’importe qui peut modifier le contenu : seule une signature vérifiée avec la bonne clé est digne de confiance. Saisissez la clé sous « Vérifier la signature (facultatif) » pour voir « Signature valide » ou « Signature non valide ».