Décodeur JWT

Décodez un JWT, lisez ses claims et ses dates et vérifiez sa signature — directement dans votre navigateur.

À propos de Décodeur JWT

De quoi s’agit-il

Le Décodeur JWT sépare un JSON Web Token en header et payload et les affiche en JSON lisible. Les claims standard ont une courte explication, et les dates iat, nbf et exp sont affichées en vraies dates avec le temps écoulé ou restant. Avec le secret ou la clé publique, l’outil vérifie aussi si la signature est valide.

Fonctionnalités principales

  • Header et payload en JSON formaté, avec l’explication de chaque claim standard.
  • iat, nbf et exp en dates, et si le token a expiré.
  • Vérification de la signature HS256/384/512 avec un secret, et RS256/384/512 et ES256/384/512 avec une clé publique au format PEM.
  • Vérification facultative par une adresse JWKS, avec choix de la clé par kid.
  • Un avertissement pour un token non signé (alg: none) et pour un claim en double.
  • Un mode édition : modifiez le payload et, avec un secret HS256, le token est re-signé au fil de la saisie.

Comment l’utiliser

  1. Collez le token dans l’éditeur, déposez-y un fichier ou cliquez sur « Exemple ».
  2. Lisez le header et le payload ; survolez un claim pour voir sa signification.
  3. Pour vérifier la signature, saisissez le secret, la clé publique ou une adresse JWKS.
  4. Copiez le header, le payload ou le token, ou envoyez le payload vers un autre outil.

Quand c’est utile

  • Comprendre pourquoi une API refuse un token : expiré, pas encore valide ou mauvaise audience.
  • Vérifier les rôles et permissions d’un token émis par un fournisseur d’identité.
  • Confirmer qu’un token a été signé avec la clé attendue.

Confidentialité et limites

Vos données

Le token, le secret et les clés restent dans votre navigateur et ne sont pas envoyés à un serveur — le site reçoit seulement un événement anonyme « outil ouvert », sans le contenu. Si vous saisissez une adresse JWKS, votre navigateur télécharge les clés directement depuis cette adresse. L’historique est désactivé tant que vous n’activez pas « Enregistrer l’historique » ; les tokens récents restent alors uniquement dans ce navigateur. Un lien « Partager » contient le token dans le lien lui-même — un token est souvent un accès valide, ne le partagez donc que s’il a expiré ou s’il s’agit d’un token de test.

Limites

  • Les signatures PS256 et EdDSA ne sont pas vérifiées ; l’outil indique que l’algorithme n’est pas pris en charge.
  • Le décodage seul ne prouve rien : tant que la signature n’est pas vérifiée, considérez le contenu comme non confirmé.

Questions fréquentes

Pourquoi la signature n’est-elle pas encore vérifiée ?

Lire un JWT ne demande aucune clé, mais vérifier sa signature, si. Saisissez le secret pour les algorithmes HS ou la clé publique pour RS et ES, et l’outil vérifie aussitôt.

Comment savoir si un token a expiré ?

Le claim exp est affiché comme une date avec « Valide » ou « Expiré » et le temps écoulé ou restant, à votre heure locale.

Est-il sûr de coller ici un vrai token ?

Le token n’est envoyé nulle part, mais traitez-le comme un mot de passe : ne le mettez pas dans un lien « Partager » et n’activez l’historique que sur votre propre appareil.

À quoi sert une adresse JWKS ?

Beaucoup de fournisseurs d’identité publient leurs clés publiques à une URL JWKS. Saisissez-la : l’outil prend la clé dont le kid correspond au header du token et vérifie la signature avec elle.