Décodeur JWT
Décodez et inspectez les JSON Web Tokens (JWT) avec une analyse détaillée des claims
Structure du token
00
Algorithme
—
Claims
0
Statut du token
—
Collez votre token JWT ici...
01
Qu'est-ce qu'un JWT ?
Un JSON Web Token, ou JWT, est une chaîne compacte qui transporte des claims, par exemple l'identité d'un utilisateur et la date d'expiration de son accès. Il comporte trois parties séparées par des points : un header, un payload et une signature. Le header et le payload sont du JSON encodé en Base64 URL-safe, donc lisibles par tous. La signature permet à un serveur de confirmer que le token n'a pas été modifié.
Ce décodeur découpe le token, affiche le header et le payload en JSON formaté, et convertit les claims exp, iat et nbf en dates lisibles, avec un état d'expiration en direct. Il décode uniquement et ne vérifie pas la signature. Le token est décodé dans votre navigateur et jamais envoyé : vous pouvez inspecter des tokens de production sans les transmettre à un tiers.
02
Comment décoder un JWT
- Collez le token dans le champ, ou cliquez sur « Charger un exemple » pour essayer.
- Lisez le header pour connaître l'algorithme de signature et le type de token.
- Lisez le payload pour voir les claims, avec les dates dans votre heure locale.
- Vérifiez le statut du token pour savoir s'il est actif ou expiré.
- Copiez le header ou le payload en JSON si vous en avez besoin ailleurs.
03
Décodeur JWT : questions fréquentes
- Que contiennent le header, le payload et la signature d'un JWT ?
- Le header indique l'algorithme de signature, comme HS256 ou RS256, et le type de token. Le payload contient les claims : des claims standard comme sub, iss, aud et exp, plus toute donnée personnalisée. La signature est calculée à partir du header et du payload avec un secret ou une clé privée : toute modification de l'une de ces parties l'invalide.
- Est-ce sûr de coller un JWT ici ?
- Le token est décodé dans cet onglet et n'est jamais envoyé à un serveur, journalisé ni stocké : coller un token de production ici ne l'expose pas. Traitez tout de même les tokens comme des mots de passe : quiconque détient un token valide peut l'utiliser jusqu'à son expiration. Videz le champ une fois terminé et évitez de partager des captures d'écran du payload.
- Que signifient exp, iat et nbf ?
- Ce sont des timestamps Unix en secondes. exp est la date d'expiration, après laquelle le token doit être refusé. iat est la date d'émission du token, et nbf la date avant laquelle il ne doit pas être accepté. Le décodeur affiche chacun sous forme de date dans votre heure locale. Pour convertir d'autres timestamps, utilisez le convertisseur de timestamp Unix.
- Cet outil vérifie-t-il la signature du JWT ?
- Non. Il décode le header et le payload mais ne vérifie pas la signature : un token décodé ne prouve donc pas son authenticité. La vérification nécessite le secret pour les algorithmes HMAC, ou la clé publique pour RSA et ECDSA, et elle doit se faire sur votre serveur, avec une bibliothèque JWT maintenue.
04