JWT

Un décodeur et visualiseur JWT en ligne et gratuit qui divise un jeton web JSON en ses trois parties — en-tête, charge utile et signature — et affiche l'en-tête et la charge utile décodés sous forme de JSON lisible. Utilisez-le pour inspecter les revendications à l'intérieur d'un jeton porteur pendant le débogage d'une API, pour confirmer quel algorithme de signature et quel identifiant de clé un jeton déclare, ou pour vérifier quand un jeton expire. Le décodage se déroule entièrement dans votre navigateur, le jeton n'est donc jamais transmis à un serveur — une différence importante par rapport aux services qui décodent côté serveur. Notez que cet outil lit un jeton pour l'inspecter ; il ne vérifie pas la signature, ce qui nécessiterait le secret de signature ou la clé publique.

Utilisations courantes

• Inspecter les revendications (sub, exp, iat) à l'intérieur d'un jeton porteur pendant le débogage d'une API.
• Confirmer quel algorithme (alg) et quel identifiant de clé (kid) un jeton déclare dans son en-tête.
• Vérifier l'expiration d'un jeton sans le coller dans un service en ligne que vous ne contrôlez pas.
• Lire la charge utile d'un jeton renvoyé par un fournisseur d'authentification pour voir les portées accordées.
• Comparer deux jetons pour repérer quelle revendication a changé entre les requêtes.

Questions fréquentes

Cet outil vérifie-t-il la signature du JWT ?

Non. Cet outil décode l'en-tête et la charge utile pour inspection ; il ne vérifie pas la signature, ce qui nécessite le secret de signature ou la clé publique.

Est-il sûr de coller un vrai jeton ici ?

Le décodage s'exécute entièrement dans votre navigateur et le jeton n'est jamais transmis. Néanmoins, traitez les jetons de production avec précaution et évitez de partager la sortie décodée.

Quelles sont les trois parties d'un JWT ?

Un JWT comporte un en-tête (algorithme et type de jeton), une charge utile (les revendications) et une signature — reliés par des points. Cet outil décode en base64url l'en-tête et la charge utile et les affiche sous forme de JSON.

Pourquoi la signature est-elle affichée mais pas décodée ?

La signature est une valeur cryptographique, pas des données encodées, elle n'a donc aucune forme lisible par un humain. Elle sert à vérifier le jeton, ce qui nécessite la clé de signature.

Puis-je savoir si un jeton est expiré ?

Oui. La charge utile décodée affiche les revendications exp (expiration) et iat (émis le) sous forme d'horodatages, vous pouvez donc voir si le jeton est encore valide.