Décodeur JWT
Collez n'importe quel JSON Web Token pour décoder son en-tête et son payload, inspecter les claims standard, vérifier l'expiration et valider optionnellement la signature. Tout s'exécute dans votre navigateur — votre token ne quitte jamais votre appareil.
Token JWT
En-tête
—Payload
—Signature
Rien n'est envoyé à nos serveurs. Tout le décodage et la vérification s'effectuent entièrement dans votre navigateur.
Vérifier la Signature
La vérification de signature est prise en charge uniquement pour les tokens HS256. Saisissez le secret HMAC utilisé pour signer ce token.
Comment utiliser cet outil
- Collez votre JWT dans la zone de texte — il sera décodé instantanément.
- Inspectez le panneau En-tête pour voir l'algorithme de signature et le type de token.
- Lisez le panneau Payload pour voir tous les claims. Si le token contient un champ 'exp', un indicateur affichera s'il est encore valide.
- Pour vérifier une signature HS256, saisissez le secret dans la section Vérifier la Signature et cliquez sur Vérifier.
- Utilisez le bouton Copier sur chaque panneau pour copier le JSON décodé dans le presse-papiers.
Pourquoi utiliser notre Décodeur JWT ?
Déboguer l'authentification JWT est une tâche courante en développement, mais coller des tokens sur des sites tiers présente des risques. Ce décodeur s'exécute entièrement dans votre navigateur — aucune donnée n'est transmise. Utilisez-le en toute sécurité même avec des tokens de production lors du débogage local ou d'audits de sécurité.
Questions fréquemment posées
Qu'est-ce qu'un JWT ?
Un JSON Web Token (JWT) est une chaîne compacte et sécurisée pour les URL, utilisée pour transmettre des informations entre parties de façon sécurisée. Il se compose de trois sections encodées en base64url séparées par des points : un En-tête (algorithme et type), un Payload (claims tels que l'ID utilisateur, les rôles et l'expiration) et une Signature pour vérifier l'authenticité.
Les JWT sont-ils chiffrés ?
Par défaut, non. Les JWT standard (JWS — JSON Web Signature) sont signés mais pas chiffrés, ce qui signifie que l'en-tête et le payload sont lisibles par quiconque possède le token. Si vous avez besoin de confidentialité, utilisez JWE (JSON Web Encryption). Ne placez jamais d'informations sensibles — mots de passe, numéros de carte — dans le payload d'un JWT standard.
Que signifie 'alg: none' et pourquoi est-ce dangereux ?
La valeur 'alg: none' dans l'en-tête JWT signifie que le token ne possède aucune signature. Certains serveurs ont historiquement accepté ces tokens comme valides, permettant à des attaquants de falsifier des payloads arbitraires. Il s'agit d'une vulnérabilité connue (CVE-2015-9235). Un serveur correctement implémenté doit toujours rejeter les tokens avec 'alg: none'.
Comment vérifier une signature JWT avec cet outil ?
Pour les tokens HS256, saisissez le secret HMAC dans la section Vérifier la Signature et cliquez sur Vérifier. L'outil recalcule la signature attendue côté navigateur et la compare à celle du token. RS256 et les autres algorithmes asymétriques ne sont pas pris en charge — utilisez une bibliothèque côté serveur pour ces cas.
Quels sont les claims JWT les plus courants ?
'iss' (issuer) identifie qui a émis le token. 'sub' (subject) identifie le principal — généralement un ID utilisateur. 'exp' (expiration time) est un timestamp Unix après lequel le token doit être rejeté. 'iat' (issued at) enregistre quand le token a été créé. 'nbf' (not before) définit le moment le plus tôt où le token est valide. 'aud' (audience) identifie les destinataires prévus.
Outils associés
Générateur de Hash
Générez des hachages MD5, SHA-1, SHA-256 et SHA-512 à partir de texte ou de fichiers dans votre navigateur.
Comparateur de Texte
Comparez deux textes et mettez en évidence les ajouts et suppressions ligne par ligne.
Convertisseur de Timestamp Unix
Convertissez des timestamps Unix en dates et inversement. Prend en charge secondes et millisecondes.
Convertisseur YAML en JSON
Convertissez entre YAML et JSON instantanément. Détection automatique du sens — dans votre navigateur.
Outils consultés récemment
Cron Expression Builder
DeveloperBuild, test, and understand cron expressions with a visual builder and next run times.
CSS Gradient Generator
DeveloperCreate linear, radial and conic CSS gradients with a live visual editor. Copy the CSS code instantly.
Regex Tester
DeveloperTest and debug regular expressions with real-time match highlighting, group capture, and substitution.