Décodeur JWT
Collez un JSON Web Token pour lire son contenu, voir s’il a expiré et vérifier sa signature.
Scellé sur cet appareil
Fonctionne dans votre navigateur. Rien n’est envoyé.
Scellé
Le décodage et la vérification se font sur cet appareil. Le token n’est jamais envoyé nulle part.
Décodé
L’en-tête, le payload et les dates de votre token s’afficheront ici.
En-tête
Payload
Claims standard
Vérifier la signature (facultatif)
Décodez d’abord un token. Son algorithme indique quelle clé est nécessaire.
PEM (-----BEGIN PUBLIC KEY-----) ou JWK en JSON. Ne collez jamais une clé privée dans un site web en lequel vous n’avez pas confiance.
Comment ça marche
-
Collez le token
Collez un JWT issu d’un en-tête Authorization, d’un cookie ou de vos logs. Le préfixe « Bearer » est ignoré.
-
Lisez le contenu
L’en-tête et le payload s’affichent en JSON formaté, avec exp, iat et nbf convertis en dates dans votre fuseau horaire.
-
Vérifiez si besoin
Saisissez le secret partagé ou collez la clé publique pour confirmer la signature, sans que le token quitte votre appareil.
Questions fréquentes
Est-ce sûr de coller un vrai token ici ?
Le token est décodé et vérifié dans votre navigateur et n’est jamais envoyé à un serveur. Un token reste toutefois comparable à un mot de passe temporaire : évitez de le partager, et révoquez-le s’il a été exposé ailleurs.
Tout le monde peut-il lire le contenu d’un JWT ?
Oui. Un JWT signé standard est seulement encodé en Base64url, pas chiffré. Quiconque le détient peut donc lire le payload. La signature prouve uniquement que personne ne l’a modifié. Ne mettez jamais de secrets dans le payload d’un JWT.
Pourquoi mon token est-il indiqué comme expiré ?
Le claim exp contient l’heure d’expiration, en secondes depuis le 1er janvier 1970 (UTC). Si ce moment est passé selon l’horloge de votre appareil, le token a expiré et les serveurs devraient le refuser.
Quelles signatures peuvent être vérifiées ?
HMAC (HS256, HS384, HS512) avec un secret partagé, ainsi que RSA (RS256–512, PS256–512) et courbes elliptiques (ES256, ES384, ES512) avec une clé publique au format PEM ou JWK. La vérification utilise Web Crypto, intégré à votre navigateur.
Que signifient iss, sub et aud ?
Ce sont des claims standard : iss désigne qui a émis le token, sub de qui il parle (souvent un identifiant d’utilisateur) et aud à qui il est destiné. Les autres champs du payload sont propres à l’application qui a créé le token.