Décodeur JWT

Collez un JWT pour décoder instantanément son en-tête et sa charge utile — inspectez les revendications, les dates d'expiration et la signature sans quitter votre navigateur ni envoyer de données où que ce soit.

Qu'est-ce que Décodeur JWT ?

Un JWT (JSON Web Token) est la méthode standard utilisée par les API web modernes pour représenter les revendications d'authentification et d'autorisation. C'est un jeton compact et autonome composé de trois parties — un en-tête décrivant l'algorithme de signature, une charge utile portant les revendications réelles (comme l'ID utilisateur, les rôles et l'expiration), et une signature permettant au serveur destinataire de vérifier que le jeton n'a pas été altéré.

Ce décodeur lit instantanément l'en-tête et la charge utile afin que vous puissiez déboguer des problèmes d'authentification, inspecter les revendications réellement envoyées par une API, ou vérifier quand un jeton expire — le tout sans backend, sans outil en ligne de commande, ni collage de jetons sensibles sur un serveur tiers, puisque tout s'exécute localement dans votre navigateur.

Formule

JWT = base64Url(en-tête) + "." + base64Url(charge utile) + "." + base64Url(signature)

Décodage : séparer sur ".", décoder en Base64URL les deux premières parties, analyser en JSON.

Vérification (non effectuée ici) : HMACSHA256(base64Url(en-tête) + "." + base64Url(charge utile), secret) === signature

Comment calculer

Collez votre JWT dans le champ de saisie, ou cliquez sur « Charger un exemple » pour en essayer un.
L'en-tête et la charge utile sont décodés automatiquement au fur et à mesure de la saisie.
Consultez des revendications comme iss, sub, exp et iat sous une forme claire et lisible.
Les revendications d'horodatage (exp, iat, nbf) sont automatiquement converties en dates lisibles.

Exemple

Un jeton commençant par eyJhbGciOiJIUzI1NiJ9 se décode en un en-tête {"alg":"HS256","typ":"JWT"} — indiquant que le jeton est signé avec HMAC-SHA256.

Avantages Clés

Décode instantanément n'importe quel JWT sans backend ni outil en ligne de commande
Tout s'exécute côté client — les jetons ne sont jamais envoyés à un serveur
Convertit automatiquement les revendications d'horodatage en dates lisibles
Gratuit, sans inscription, fonctionne avec n'importe quel JWT quel que soit l'algorithme

Erreurs Courantes à Éviter

Supposer qu'un JWT décodé est un JWT vérifié — le décodage ne fait que lire le contenu, il ne confirme pas l'authenticité
Stocker des données sensibles (mots de passe, secrets) dans la charge utile, en oubliant qu'elle est lisible par n'importe qui
Coller des jetons de production dans des décodeurs en ligne non fiables
Confondre 'exp' (expiration) avec 'iat' (émis à) lors du débogage de problèmes de durée de vie d'un jeton

Conseils de Pro

Vérifiez toujours 'exp' en premier lors du débogage d'une erreur « unauthorized » — un jeton expiré en est la cause la plus fréquente
Comparez le 'alg' de l'en-tête avec ce qu'attend votre backend pour repérer les bugs de désaccord d'algorithme
Ne faites jamais confiance à une charge utile décodée comme preuve d'identité sans vérifier la signature côté serveur
Utilisez des jetons de courte durée accompagnés de jetons de rafraîchissement plutôt que des JWT de longue durée pour limiter l'exposition en cas de fuite

Termes Clés Expliqués

Revendication (claim): Une information affirmée à propos d'un sujet, comme un ID utilisateur ou un rôle
En-tête (header): Le premier segment du JWT, précisant l'algorithme de signature et le type de jeton
Charge utile (payload): Le deuxième segment du JWT, contenant les revendications réelles
Signature: Le troisième segment du JWT, utilisé pour vérifier que le jeton n'a pas été altéré

Cas d'utilisation courants

Déboguer pourquoi une API rejette un jeton en inspectant ses revendications
Vérifier la date d'expiration d'un jeton lors d'une investigation support
Vérifier qu'un fournisseur SSO ou OAuth émet bien les revendications attendues
Apprendre la structure des JWT pour un entretien d'embauche ou un cours
Inspecter rapidement un jeton copié depuis les outils de développement du navigateur ou des journaux serveur

Questions fréquentes

Qu'est-ce qu'un JWT ?

Un JSON Web Token (JWT) est une façon compacte et compatible URL de représenter des revendications entre deux parties. Il se compose de trois parties encodées en Base64URL séparées par des points : un en-tête, une charge utile et une signature.

Est-il sûr de coller mon JWT dans cet outil ?

Le décodage se fait entièrement dans votre navigateur en JavaScript — le jeton n'est jamais envoyé à un serveur. Cela dit, traitez les JWT comme des mots de passe : évitez de coller des jetons issus de systèmes de production dans un outil en ligne quelconque, y compris celui-ci.

Pourquoi cet outil ne peut-il pas vérifier la signature ?

Vérifier la signature d'un JWT nécessite la clé secrète (pour les algorithmes HMAC) ou la clé publique (pour les algorithmes RSA/ECDSA) que seul le serveur émetteur devrait posséder. Cet outil décode uniquement l'en-tête et la charge utile lisibles — il n'a jamais accès à cette clé.

Que signifie la revendication 'exp' ?

'exp' (Expiration Time) est un horodatage Unix indiquant quand le jeton cesse d'être valide. Cet outil le convertit automatiquement en une date lisible afin que vous puissiez rapidement vérifier si un jeton a expiré.