Qu'est-ce que Décodeur JWT ?

Collez un JSON Web Token pour voir son en-tête, payload et signature décodés. Vérifiez les claims du token, contrôlez les dates d'expiration et déboguez les problèmes d'authentification en quelques secondes.

Le décodeur sépare le jeton sur les points, décode l'en-tête et la charge utile en Base64URL, puis les analyse comme du JSON. Vous voyez l'algorithme de signature (HS256, RS256, EdDSA, etc.), toutes les revendications réservées (iss, sub, aud, exp, iat, nbf, jti) et les revendications personnalisées de votre service. Les revendications horodatées sont converties depuis l'epoch Unix vers votre fuseau local, ce qui rend un jeton expiré immédiatement visible.

Comment utiliser

1. Collez votre token JWT dans le champ de saisie — les trois sections encodées en Base64 seront automatiquement détectées.
2. Consultez l'en-tête décodé (algorithme, type) et le payload (claims, expiration, émetteur) côte à côte.
3. Copiez les sections décodées individuellement ou la sortie complète.

Quand l'utiliser

• Diagnostiquer un 401 en vérifiant si l'exp du bearer token est déjà dépassé.
• S'assurer qu'un jeton émis en pré-production porte les bonnes valeurs aud et iss avant le passage en production.
• Lire le user_id ou les scopes qu'un SSO tiers a placés dans votre jeton d'accès.

Résultat

Vous déboguez une erreur 401 dans votre API. Collez le bearer token de l'en-tête de la requête pour vérifier si la claim 'exp' a déjà expiré ou si la claim 'aud' correspond à l'audience attendue.

FAQ

L'outil vérifie-t-il la signature ?

Pour les jetons HMAC (HS256, HS384, HS512), collez le secret et l'outil vérifie la signature directement sur votre appareil. Pour les jetons RS et ES (RS256/384/512, ES256/384/512), collez la clé publique PEM de l'émetteur et la vérification se fait de la même façon. Dans tous les cas, le secret ou la clé ne quitte jamais votre appareil.

Est-ce sans risque de coller un vrai jeton de production ?

Le décodage a lieu sur votre appareil, le jeton n'est envoyé à aucun serveur. Cela dit, un bearer token donne accès à quiconque le détient : le vrai risque c'est qu'on regarde par-dessus votre épaule, pas l'outil lui-même.

Que signifie un champ alg à 'none' ?

Certaines bibliothèques anciennes acceptaient des jetons sans signature avec alg=none, une faille bien connue. Une API en production doit refuser ce cas. Voir 'none' dans un jeton d'authentification est un signal qu'il faut corriger l'émetteur.

Pourquoi exp et iat apparaissent en nombres plutôt qu'en dates ?

Les JWT stockent les horodatages comme secondes écoulées depuis le 1er janvier 1970 UTC. Le décodeur affiche en plus une date locale lisible à côté de chaque revendication, vous voyez d'un coup d'œil si le jeton est périmé.

Puis-je décoder un jeton chiffré (JWE) ?

Un JWE comporte cinq segments séparés par des points et est chiffré, pas seulement signé. Cet outil lit les JWS (trois segments : header.payload.signature). Pour un JWE il faut la clé de déchiffrement, qui par construction reste sur le serveur destinataire.

Outils similaires