Décodeur JWT
Décodez et inspectez les JSON Web Tokens (en-tête, charge utile, signature, revendications, expiration et avis de sécurité) en toute sécurité dans votre navigateur.
Que contient un JWT ?
Un JSON Web Token (JWT) se compose de trois parties encodées en Base64URL et séparées par des points — un en-tête décrivant l'algorithme de signature, une charge utile de revendications (comme un identifiant utilisateur ou une date d'expiration), et une signature. Cet outil décode et affiche les trois parties afin que vous puissiez inspecter le contenu d'un token.
Comment utiliser le décodeur JWT
- Collez un JWT dans le champ de saisie.
- L'en-tête et la charge utile sont décodés et affichés automatiquement.
- Examinez les valeurs des revendications telles que l'expiration (exp), la date d'émission (iat) et le sujet (sub), ainsi que l'algorithme de signature.
- Vérifiez l'indicateur de statut d'expiration pour voir si le token est encore valide, expire bientôt, ou est expiré.
Notes techniques
- Cet outil décode un JWT — il ne vérifie pas la signature. Le décodage révèle uniquement ce qu'un token affirme ; vérifier qu'un token est authentique et n'a pas été altéré nécessite de contrôler sa signature avec le bon secret ou la bonne clé publique, ce que cet outil ne fait volontairement pas.
- Comme l'en-tête et la charge utile d'un JWT sont seulement encodés (et non chiffrés), quiconque possède le token peut lire son contenu — ne placez jamais de secrets dans la charge utile d'un JWT.
- Un token dont l'alg est défini sur "none" n'a aucune signature et ne doit jamais être considéré comme authentique par un quelconque système.
Questions fréquentes
Cet outil vérifie-t-il qu'un JWT est authentique ?+
Non. Il décode et affiche l'en-tête, la charge utile et les revendications, et signale l'expiration et alg=none, mais il ne contrôle pas la signature. Un jeton décodé ne montre que ce qu'il prétend ; prouver son authenticité nécessite de vérifier la signature avec la clé secrète ou publique de l'émetteur sur votre serveur.
La charge utile d'un JWT est-elle chiffrée ?+
Non. L'en-tête et la charge utile sont seulement encodés en Base64URL : toute personne qui détient le jeton peut les lire. Ne placez jamais de mots de passe, de secrets ou de données personnelles sensibles dans la charge utile d'un JWT.
Que signifie "alg": "none" dans un jeton ?+
Cela signifie que le jeton ne porte aucune signature. Un tel jeton n'offre aucune garantie d'intégrité ou d'authenticité et doit être rejeté par tout système qui s'appuie sur les JWT pour l'authentification.