Décodeur JWT
Lisez l'en-tête et le contenu d'un jeton sans l'envoyer nulle part.
- Fonctionne dans votre navigateur — votre texte n'est jamais envoyé nulle part
- Sans inscription, sans quota, gratuit et utilisable aussi souvent que vous le souhaitez
Comment ça marche
Coller un JWT dans un site web est une très mauvaise habitude : un jeton actif est un identifiant, et vous venez de le remettre à un tiers. Cet outil le décode dans la page, de sorte que le jeton ne quitte jamais votre machine.
Ce que contient un JWT
Trois segments Base64URL séparés par des points : un en-tête indiquant l'algorithme, un contenu de revendications (claims) et une signature. Les deux premiers sont encodés, pas chiffrés : quiconque détient le jeton peut les lire.
Vérifier la signature n'est pas décoder
Cet outil montre ce que dit le jeton. Il ne vérifie pas que la signature est valide, car cela nécessite le secret de signature ou la clé publique. Un jeton décodé ne prouve rien quant à son authenticité.
Expiration
Lorsque le contenu comporte une revendication d'expiration, elle est affichée sous forme de date lisible et signalée si elle est déjà dépassée, ce qui est généralement ce que vous cherchiez à savoir.
Décodeur JWT : questions
Cela vérifie-t-il la signature ?
Non. La vérification nécessite la clé de signature. Cet outil décode et affiche uniquement le contenu.
Mon jeton est-il envoyé à un serveur ?
Non, et c'est tout l'intérêt. Un jeton actif est un identifiant et ne doit pas être collé dans un service distant.
Pourquoi n'importe qui peut-il lire un JWT ?
L'en-tête et le contenu sont encodés en Base64, pas chiffrés. La signature empêche la falsification, pas la lecture.