À propos de l’outil : Décodeur JWT
Un JSON Web Token (JWT) est un jeton compact et compatible URL utilisé pour l’authentification et l’autorisation, généralement envoyé dans l’en-tête Authorization des requêtes d’API. Il se compose de trois parties encodées en Base64URL et séparées par des points : un en-tête qui décrit l’algorithme de signature, une charge utile contenant des revendications (claims) comme l’identifiant de l’utilisateur et la date d’expiration, et une signature. Ce décodeur affiche l’en-tête et la charge utile sous forme de JSON lisible et convertit les revendications temporelles en dates dans votre langue. Le jeton est décodé dans votre navigateur et n’est jamais envoyé nulle part.
Mode d’emploi
- Collez un JWT dans la zone. Le préfixe « Bearer » éventuel est supprimé automatiquement.
- Lisez l’en-tête et la charge utile décodés, affichés sous forme de JSON formaté.
- Vérifiez les dates d’émission, de début de validité et d’expiration, et si le jeton a expiré.
- Copiez l’en-tête ou la charge utile si vous en avez besoin ailleurs.
Questions fréquentes
Cet outil vérifie-t-il la signature ?
Non. La vérification d’une signature nécessite la clé secrète ou la clé publique ayant servi à signer le jeton. Ne faites jamais confiance au contenu d’un jeton dans votre application sans l’avoir vérifié sur votre serveur.
Puis-je coller un vrai jeton ici en toute sécurité ?
Le jeton est décodé localement et n’est jamais transmis. Traitez néanmoins les jetons valides comme des mots de passe : toute personne qui en possède un peut l’utiliser jusqu’à son expiration.
La charge utile d’un JWT est-elle chiffrée ?
Les JWT signés standard (JWS) sont seulement encodés, pas chiffrés : n’importe qui peut donc lire leur contenu. Ne placez aucun secret dans la charge utile d’un JWT.