Décodeur JWT
Lisez l'en-tête et le contenu d'un jeton JWT et vérifiez son expiration
Jeton
Le jeton est décodé dans votre navigateur : il n'est jamais envoyé. La signature n'est pas vérifiée (il faudrait la clé secrète).
Collez un jeton à gauche pour le décoder.
À propos de l'outil
Le décodeur JWT affiche le contenu d'un JSON Web Token sans avoir besoin de la clé : l'en-tête, avec l'algorithme et le type de jeton, et le contenu, avec ses claims comme l'identifiant de l'utilisateur, ses rôles ou ses portées, mis en forme en JSON. Il sert à déboguer une authentification, à vérifier ce qu'une API reçoit vraiment ou à comprendre pourquoi un jeton est refusé.
Les champs exp, iat et nbf sont convertis en date lisible et en durée relative, et un badge indique si le jeton est valide, expiré, pas encore valide ou sans date d'expiration. Un préfixe « Bearer » copié avec le jeton est retiré automatiquement. La signature n'est pas vérifiée : il faudrait la clé secrète ou publique, que l'outil ne demande pas.
Comment l'utiliser
- Collez votre jeton (eyJ…) dans le champ Jeton.
- Regardez le badge sous « Dates du jeton » : Valide, Expiré, Pas encore valide ou Sans date d'expiration.
- Lisez les dates Expire, Émis et Valide à partir de, avec l'écart par rapport à maintenant.
- Consultez l'En-tête et le Contenu, puis cliquez sur « Copier » pour récupérer le contenu en JSON.
Questions fréquentes
L'outil vérifie-t-il la signature du jeton ?
Non. Vérifier une signature exige la clé secrète (HS256) ou la clé publique (RS256, ES256), et l'outil ne la demande pas. Il décode seulement l'en-tête et le contenu, lisibles par n'importe qui : un jeton décodé ici n'est donc pas forcément authentique.
Comment le statut Expiré est-il déterminé ?
L'outil compare l'heure de votre ordinateur au champ exp, exprimé en secondes depuis 1970. Si nbf est dans le futur, le jeton est « Pas encore valide », et sans exp il est « Sans date d'expiration ». Une horloge locale déréglée fausse donc le statut.
Puis-je coller un jeton réel sans risque ?
Le jeton est décodé dans votre navigateur et n'est jamais envoyé : la page ne fait aucun appel réseau pour le traiter et ne l'enregistre pas. Un jeton encore valide reste néanmoins une donnée sensible, à ne pas partager ailleurs.
Pourquoi le message « Un JWT contient trois parties » ?
Un JWT signé se compose de trois blocs Base64 URL séparés par des points : en-tête, contenu et signature. Un jeton tronqué, un jeton chiffré (JWE) à cinq parties ou un texte copié partiellement déclenchent ce message.