Décodeur JWT
Un décodeur JWT gratuit pour lire n’importe quel JSON Web Token. Collez un token et vous verrez son en-tête, sa charge utile et sa signature, chaque claim standard expliqué, et s’il a expiré. Le décodage se fait entièrement dans votre navigateur : le token n’est envoyé nulle part.
Décodeur JWT
Collez un JSON Web Token ci-dessous. Il est décodé dans votre navigateur au fil de la saisie, et rien n’est transmis ni conservé.
Collez un token ci-dessus pour le décoder.
Rien n’a encore été décodé.
Le token est décodé localement en JavaScript. Il n’est jamais envoyé à un serveur, jamais journalisé et jamais enregistré, pas même dans le stockage du navigateur.
Les claims standard, expliqués
Un JSON Web Token rassemble trois parties encodées en Base64url dans une seule chaîne : un en-tête qui indique comment il a été signé, une charge utile de claims sur l’utilisateur et la session, et une signature. Les deux premières sont encodées, pas chiffrées : quiconque détient le token peut les lire. Ce décodeur vous montre exactement ce qu’elles contiennent.
Principaux avantages
Cas d’usage courants
Comment l’utiliser
- 1.Collez le token. Collez le token entier, avec ses deux points. Un préfixe « Bearer » est retiré automatiquement.
- 2.Lisez le panneau d’état. Il indique l’algorithme de signature, l’identifiant de clé s’il existe, et si le token a expiré.
- 3.Examinez les claims. Les claims standard viennent d’abord, horodatages convertis en vraies dates ; les claims personnalisés suivent.
- 4.Copiez ce dont vous avez besoin. L’en-tête et la charge utile ont chacun un bouton de copie, pour un ticket ou un test.
Les claims standard, expliqués
La plupart des tokens portent une poignée de claims enregistrés. Voici ceux que vous rencontrerez le plus souvent, et à quoi chacun sert réellement.
Fonctions clés
- Décode séparément l’en-tête, la charge utile et la signature
- Convertit exp, nbf et iat en dates lisibles et en temps relatif
- Signale un token expiré, un token pas encore valide et alg: none
- Explique chaque claim enregistré à côté de sa valeur
- Boutons de copie pour l’en-tête et la charge utile décodés
- Fonctionne hors ligne une fois la page chargée
- Aucun compte, aucun envoi, aucun stockage
Décoder n’est pas vérifier
C’est le point le plus important à comprendre sur tout décodeur JWT, celui-ci compris. Décoder lit le Base64url et vous montre le JSON. Cela ne prouve rien sur l’authenticité du token. N’importe qui peut fabriquer un token qui dit "role":"admin" : il se décodera parfaitement ici.
Seule la vérification de la signature avec la clé de l’émetteur prouve qu’un token est authentique, et cela se fait sur votre serveur, jamais dans un onglet de navigateur. Considérez ce que vous voyez ici comme un relevé de débogage, pas comme une preuve. Et comme la charge utile est simplement encodée, n’y mettez jamais de secret : un JWT est lisible par quiconque le détient. Pour la version longue — les claims derrière la plupart des 401, la confusion d’algorithmes et pourquoi un JWT ne peut pas être révoqué — lisez notre guide pour décoder et déboguer les JSON Web Tokens.
Questions fréquentes
Qu’est-ce qu’un JWT ?⌄
Un JSON Web Token est une chaîne compacte et compatible URL formée de trois parties encodées en Base64url et séparées par des points : un en-tête décrivant l’algorithme de signature, une charge utile de claims, et une signature. On l’utilise surtout comme token d’accès ou token d’identité après une connexion.
Est-il sûr de décoder un JWT ici ?⌄
Le décodage se fait entièrement dans votre navigateur, en JavaScript. Le token n’est jamais envoyé à nos serveurs, jamais journalisé et jamais écrit dans le stockage du navigateur. Cela dit, un token reste un identifiant actif jusqu’à son expiration : traitez-le comme un mot de passe partout où vous le collez.
Est-ce que la signature est vérifiée ?⌄
Non, et aucun outil de navigateur ne devrait le faire. La vérification exige la clé secrète ou publique de l’émetteur, qui doit rester sur votre serveur. Le décodage montre seulement ce que dit le token ; il ne peut pas dire s’il est authentique ou s’il a été modifié.
Pourquoi mon token apparaît-il comme expiré ?⌄
Le claim exp est un timestamp Unix en secondes, et le token est invalide à partir de cet instant. Le panneau d’état le convertit en vraie date et indique depuis combien de temps il est passé. Une cause fréquente d’expiration surprise est une horloge serveur désynchronisée.
Peut-on décoder un token sans le secret ?⌄
Oui. L’en-tête et la charge utile sont encodés, pas chiffrés : quiconque détient le token peut les lire. Le secret ne sert qu’à contrôler la signature, pas à lire le contenu — raison pour laquelle il ne faut jamais mettre de données sensibles dans une charge utile.