Décodeur de JWT (JSON Web Token)
Collez un JWT et consultez son en-tête et son contenu en JSON lisible, avec les dates d’émission et d’expiration expliquées et l’état du jeton (valide, expiré ou pas encore valide). Pour un jeton HMAC, vous pouvez vérifier la signature avec votre secret. Tout se passe dans votre navigateur : le jeton et le secret ne sont envoyés nulle part.
Traité à 100 % dans votre navigateur
Décoder n’est pas vérifier : n’importe qui peut lire un JWT. Tout se passe dans votre navigateur et le jeton n’est envoyé nulle part.
Collez un jeton pour le décoder.
Ctrl + Enter exécuterCtrl + C copier le résultat
Comment l’utiliser
- 1Copiez le jeton (le préfixe « Bearer » convient) et collez-le dans la zone.
- 2Lisez l’en-tête, le payload et les dates exp, iat et nbf avec leur état.
- 3Pour vérifier la signature d’un jeton HS256, HS384 ou HS512, saisissez le secret.
- 4Copiez le JSON de l’en-tête ou du payload avec les boutons.
Cas d’usage
- Déboguer le refus d’un jeton par une API : expiré, mauvaise audience ou permissions manquantes.
- Examiner les claims d’un jeton avant de l’utiliser dans une intégration.
- Contrôler la date d’expiration d’un jeton d’accès ou de rafraîchissement.
- Vérifier en local qu’un jeton signé en HMAC n’a pas été altéré.
Questions fréquentes
Décoder un JWT, est-ce le vérifier ?
Non. N’importe qui peut lire le contenu d’un JWT car il est seulement encodé en Base64URL. La vérification contrôle la signature et exige la clé ; sans elle, impossible de savoir si le jeton est authentique.
Est-il sûr de coller mon jeton ici ?
Le jeton est décodé dans votre navigateur et n’est ni envoyé à un serveur ni conservé. Évitez toutefois de coller des jetons de production aux permissions sensibles sur des sites que vous ne maîtrisez pas.
Quels algorithmes puis-je vérifier ?
HS256, HS384 et HS512, qui utilisent un secret partagé. Les jetons RS256, ES256 et similaires sont signés avec une clé privée et vérifiés avec la publique, que cet outil ne demande pas.
Que signifient exp, iat et nbf ?
exp est l’instant d’expiration, iat celui d’émission et nbf le début de validité. Ce sont des secondes depuis 1970 (temps Unix) ; vous les voyez aussi ici sous forme de date lisible.
Qu’est-ce que alg : none ?
Un jeton non signé. C’est un risque de sécurité si un serveur l’accepte ; l’outil vous avertit donc quand il en voit un.