FR

Décodeur JWT

Collez un JSON Web Token pour lire son header et ses claims, voir quand il expire et vérifier la signature avec un secret ou une clé publique. Le token ne quitte jamais votre navigateur.

Gratuit et privé. Tout se passe dans votre navigateur, rien n'est envoyé.

Comment ça marche

  1. Collez le tokenCollez le JWT, avec ou sans le préfixe Bearer.
  2. Lisez les claimsVoyez le header, le payload et les dates en clair.
  3. VérifiezFacultatif : saisissez le secret ou la clé publique pour contrôler la signature.

Sans risque pour vos vrais tokens

Les débogueurs JWT en ligne sont pratiques, mais coller un token d'accès actif sur le site de quelqu'un d'autre est risqué : quiconque l'enregistre peut s'en servir jusqu'à son expiration. Ce décodeur fonctionne entièrement dans votre navigateur. Rien n'est envoyé, journalisé ni conservé : vous pouvez donc inspecter des tokens de production pendant que vous déboguez votre authentification.

Les dates exp, iat, nbf et auth_time s'affichent à votre heure locale avec une indication relative, et l'état vous dit tout de suite si le token a expiré.

Vérification de la signature

Pour HS256, HS384 et HS512, saisissez le secret partagé. Pour les algorithmes RS, PS et ES, collez la clé publique au format PEM, qui commence par BEGIN PUBLIC KEY. La vérification utilise l'API Web Crypto de votre navigateur. Les tokens avec alg none sont signalés, puisqu'ils ne portent aucune signature.

Questions fréquentes

Mon token est-il envoyé quelque part ?

Non. Le décodage et la vérification se font dans votre navigateur.

Puis-je décoder un token sans le secret ?

Oui. Le header et le payload sont seulement encodés, pas chiffrés. Le secret ne sert qu'à vérifier la signature.

Quels algorithmes peuvent être vérifiés ?

HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 et ES512.

Et les tokens chiffrés (JWE) ?

Les tokens chiffrés ont cinq parties et ne peuvent pas être lus sans la clé privée. L'outil vous le signale quand vous en collez un.