Décodeur JWT
Décodez des JSON Web Tokens, inspectez l'en-tête et les claims, vérifiez l'expiration et la signature, en toute confidentialité.
En-tête
Payload
Claims
| Claim | Valeur | Signification |
|---|
Vérifier la signature
Le décodage ne prouve pas qu'un jeton est authentique. Saisissez le secret ou la clé publique pour vérifier la signature localement dans votre navigateur.
100 % privé : tout s'exécute dans votre navigateur, rien n'est envoyé.
Comment décoder un JWT
Sans inscription ni installation : tout fonctionne directement dans votre navigateur.
- Étape 1 :Collez le jeton dans la zone de saisie (le préfixe Bearer est retiré automatiquement) ou cliquez sur Charger un exemple.
- Étape 2 :Lisez l'en-tête et le payload décodés, le tableau des claims et les badges d'état d'expiration.
- Étape 3 :Si besoin, saisissez le secret HMAC ou la clé publique PEM et cliquez sur Vérifier la signature pour confirmer l'authenticité du jeton.
FAQ du décodeur JWT
Est-il sûr de coller un JWT dans un décodeur en ligne ?
Avec cet outil, oui : le décodage et la vérification s'exécutent entièrement dans votre navigateur et le jeton n'est jamais envoyé. Traitez néanmoins les jetons de production comme des mots de passe et évitez de les partager dans des tickets, des chats ou des captures d'écran.
Décoder un JWT permet-il de le vérifier ?
Non. N'importe qui peut décoder un JWT, car l'en-tête et le payload sont seulement encodés en Base64URL, pas chiffrés. Seule la vérification de la signature avec le bon secret ou la bonne clé publique prouve que le jeton est authentique et intact.
Comment savoir si un JWT a expiré ?
Regardez le claim exp, un timestamp Unix en secondes. Le décodeur le convertit en date et heure locales et affiche un badge Expiré ou Non expiré, ainsi que nbf (pas avant) et iat (émis le).
Quels algorithmes de signature peuvent être vérifiés ?
HS256, HS384 et HS512 avec un secret partagé, ainsi que RS256/384/512, PS256/384/512 et ES256/384/512 avec une clé publique au format PEM, grâce à l'API Web Crypto intégrée au navigateur.
Quelle est la différence entre JWS et JWE ?
Un JWS (trois parties) est signé : son contenu est lisible mais infalsifiable. Un JWE (cinq parties) est chiffré : son payload ne peut pas être lu sans la clé de déchiffrement. Cet outil décode les jetons JWS, utilisés pour la plupart des jetons d'accès et d'identité.
Qu'est-ce qu'un JWT et comment le décoder ?
Un JSON Web Token (JWT) est une chaîne compacte et compatible URL utilisée par OAuth 2.0, OpenID Connect et la plupart des API modernes pour transporter des données d'identité et d'autorisation. Il se compose de trois parties encodées en Base64URL séparées par des points : un en-tête qui indique l'algorithme de signature, un payload contenant des claims comme sub, iss, aud, iat et exp, et une signature qui prouve que le jeton n'a pas été altéré. Décoder un JWT consiste simplement à décoder en Base64URL les deux premières parties pour lire le JSON qu'elles contiennent — exactement ce dont vous avez besoin pour déboguer un flux de connexion, une passerelle d'API, une session expirée ou un problème de permissions.
Ce décodeur JWT gratuit affiche l'en-tête et le payload sous forme de JSON formaté, explique chaque claim standard, convertit les timestamps exp, nbf et iat en dates locales lisibles et indique d'un coup d'œil si le jeton est valide, expiré ou pas encore actif. Il signale aussi les jetons non sécurisés alg none et peut vérifier la signature avec un secret HMAC (HS256, HS384, HS512) ou une clé publique PEM (RS256, PS256, ES256 et variantes plus fortes) grâce à l'API Web Crypto du navigateur. Les jetons sont traités entièrement sur votre appareil et ne sont jamais envoyés à nos serveurs : vous pouvez inspecter en toute sécurité de vrais jetons d'accès et d'identité.