Décodeur JWT
Collez un JSON Web Token pour lire son en-tête et son payload, voir quand il expire et vérifier sa signature avec votre secret ou votre clé publique.
ENTRÉE
SORTIE
Le résultat s'affiche ici pendant que vous tapez.
Tout se passe dans votre navigateur. Rien de ce que vous saisissez n'est envoyé à un serveur.
Comment décoder un JWT
Collez le token
Copiez le token depuis un en-tête Authorization, un cookie ou les outils de développement de votre navigateur, puis collez-le dans la zone de saisie.
Lisez les claims
L'en-tête et le payload s'affichent en JSON formaté. Les dates comme exp et iat sont indiquées dans votre fuseau horaire.
Vérifiez la signature
Saisissez le secret partagé (HS256) ou la clé publique de l'émetteur (RS256, ES256) pour confirmer que le token n'a pas été modifié.
Que contient un JWT ?
Un JWT se compose de trois parties encodées en Base64URL et séparées par des points : un en-tête qui indique l'algorithme de signature, un payload avec des claims comme l'identifiant de l'utilisateur et la date d'expiration, et une signature. Tout le monde peut lire l'en-tête et le payload ; seule la signature prouve qui a émis le token.
Décoder n'est pas vérifier
Lire un token vous dit ce qu'il affirme, pas si c'est vrai. Avant que votre code ne fasse confiance à un token, il doit vérifier côté serveur sa signature et son claim exp.
Questions fréquentes
Puis-je coller mon token ici sans risque ?
Le token est décodé dans votre navigateur et n'est jamais envoyé à un serveur. Traitez tout de même les tokens actifs comme des mots de passe : toute personne qui en détient un peut l'utiliser jusqu'à son expiration.
Quels algorithmes de signature peuvent être vérifiés ?
HS256, HS384 et HS512 avec un secret partagé, ainsi que RS256, PS256 et ES256 et leurs variantes 384 et 512 avec une clé publique PEM.
Pourquoi mon token est-il indiqué comme expiré ?
Le claim exp est comparé à l'horloge de votre appareil. Si l'heure affichée est déjà passée, les serveurs refuseront le token et il vous en faut un nouveau.
Peut-il décoder les tokens chiffrés (JWE) ?
Non. Les tokens chiffrés comportent cinq parties et il faut la clé privée pour les lire. Cet outil décode les tokens signés (JWS), ceux qu'utilisent la plupart des API.