Web et encodage
JWT Décodeur
Collez un JSON Web Token pour voir son en-tête, sa charge utile et ses revendications de temps traduites en dates lisibles. Le décodage s'effectue entièrement dans votre navigateur : le jeton n'est jamais transmis.
- Fonctionne à 100 % dans votre navigateur
- Pas d'inscription · Aucun téléchargement
- Utilisation gratuite et illimitée
JWT (header.payload.signature)
Exemples : Jeton de démonstration HS256 · Format au porteur —⌘/Ctrl + Entrée convertit · dépose un fichier pour le charger · traité localement
Sortie décodée
La sortie est en lecture seule. Utilisez Copier, Télécharger ou Partager pour le déplacer.
Comment utiliser l'outil JWT Décodeur
-
Collez le jeton
Un préfixe Bearer est accepté. Seuls les deux premiers segments sont lus — la signature est affichée mais jamais vérifiée.
-
Lire l'en-tête et la charge utile
Les deux sont joliment imprimés sous la forme JSON. Les demandes de temps sont traduites en dates UTC avec des heures relatives, et les jetons expirés sont signalés.
-
Vérifiez avant de faire confiance
Utilisez les revendications pour déboguer les questions « pourquoi mon jeton est-il rejeté » : décalage d'horloge, mauvaise audience ou expiration que vous n'avez pas remarquée.
Ce qui rend cet outil différent
- En-tête et charge utile joliment imprimés avec réclamations de temps dans des dates lisibles
- Indicateur explicite EXPIRED / toujours valide et compte à rebours « expire dans »
- Décodage Base64url avec gestion UTF-8 correcte, donc les noms non-ASCII sont corrects
- Fonctionne avec les jetons préfixés par Bearer ; signature tronquée
- Fonctionne à 100 % hors ligne dans l'onglet – les jetons comportent souvent des revendications sensibles
Confidentialité par architecture : cette page ne contient aucune analyse qui reçoit votre entrée et le code de conversion s'exécute dans votre onglet. Vous pouvez vous déconnecter du réseau après le chargement et continuer à travailler.
JWT Décodeur — questions fréquemment posées
Est-il sécuritaire de coller un JWT dans un site Web ?
Avec cet outil, oui pour le jeton lui-même : le décodage est du pur JavaScript dans votre navigateur et rien n'est envoyé nulle part. Mais traitez quand même les jetons comme des secrets : un JWT est un identifiant au porteur, valable pour quiconque le détient jusqu'à son expiration. Pour les tokens de production, préférez décoder localement dans votre propre débogueur.
Est-ce que cela vérifie la signature ?
Non, et aucun décodeur non plus sans votre clé secrète ou publique. Le décodage uniquement en base64url décode les segments. La vérification nécessite la clé de signature et appartient à votre backend ou à une bibliothèque comme jose ou jsonwebtoken.
Pourquoi mon token est-il rejeté alors que le décodage fonctionne ?
Les causes habituelles sont : la réclamation exp a réussi, le jeton a été émis pour un public (aud) ou un émetteur (iss) différent, l'horloge du serveur diffère suffisamment pour attirer nbf dans le futur, ou la clé de signature a été pivotée. Le comité des réclamations répond instantanément aux trois premières.
Que signifient iat, exp et nbf ?
iat est émis à, exp est l'heure d'expiration et nbf n'est pas avant. Tous les trois sont des horodatages Unix en secondes. Un jeton est valide lorsque nbf ≤ now < exp (lorsque ces revendications sont présentes).
Puis-je modifier un jeton pour tester les vérifications de rôle ?
Vous pouvez modifier la charge utile, mais la signature ne correspondra plus, donc tout serveur qui vérifie les signatures la rejettera – correctement –. Pour les tests, reconnectez-vous avec la clé dans votre environnement ; c'est la seule façon de tester honnêtement les chemins d'authentification.
Outils associés
Vous recherchez “jwt décoder en ligne”, “décoder le jeton Web JSON”, “vérificateur d'expiration jwt” ? Vous êtes au bon endroit — parcourir tous les 19 outils.