Décodeur JWT et inspecteur gratuit en ligne

Collez le jeton dans la zone ci-dessus. Il est découpé aux deux points, et les deux premières parties sont décodées depuis Base64url en JSON. L'en-tête et le payload apparaissent immédiatement, avec l'algorithme et les éventuelles dates exp et iat.

Oui. L'en-tête et le payload sont seulement encodés en Base64url, pas chiffrés : toute personne qui possède le jeton peut donc les lire. La clé secrète ou privée sert à signer ou vérifier un jeton, pas à lire ses revendications, c'est pourquoi les jetons ne doivent pas contenir de mots de passe.

Décoder consiste à lire les revendications. Vérifier consiste à recalculer la signature avec la clé secrète (HS256) ou la clé publique (RS256, ES256) pour prouver que personne ne les a modifiées. Cet outil ne fait que décoder : ne faites donc pas confiance à un jeton dans votre application tant que le code serveur ne l'a pas vérifié avec une bibliothèque JWT.

Un jeton valide est décodé dans votre navigateur et n'est jamais envoyé à PixConvert. Les statistiques d'usage enregistrent les clics, comme Copier, et la durée d'un décodage. Si un jeton est endommagé, le texte de l'erreur est également envoyé, et dans Chrome il peut citer quelques caractères décodés. Les jetons expirés ou de test sont les plus sûrs à coller.

exp est l'heure d'expiration, en secondes écoulées depuis le 1er janvier 1970 (heure Unix). Ce décodeur l'affiche sous forme de date dans votre fuseau horaire local et marque le jeton comme Expiré une fois cet instant passé. Un jeton sans exp s'affiche comme Actif.

Actif signifie seulement que l'heure exp n'est pas dépassée, ou que le jeton n'a pas d'exp. L'outil ne vérifie ni la signature, ni nbf (not before), ni l'émetteur, ni l'audience : un jeton falsifié ou pas encore valide peut donc quand même s'afficher comme Actif. Vérifiez ces revendications vous-même.

Le décodeur attend exactement trois parties séparées par deux points. Retirez le mot Bearer et les éventuels guillemets, et vérifiez que la copie n'a pas été tronquée. Les jetons JWE chiffrés comportent cinq parties et ne peuvent pas être décodés sans la clé.

Oui. Le décodage fonctionne de la même manière pour tous les algorithmes, et la valeur alg de l'en-tête, par exemple HS256, RS256, ES256 ou none, s'affiche dans la barre d'état. Vous n'avez besoin de connaître l'algorithme que pour vérifier la signature dans votre propre code.

Un jeton d'ID est toujours un JWT et indique à votre application qui s'est connecté, avec des revendications comme sub, email et name. Un jeton d'accès permet à un client d'appeler une API et peut être un JWT ou une chaîne opaque. Seuls les jetons au format JWT peuvent être décodés ici.

La signature est la sortie binaire de HMAC, RSA ou ECDSA, écrite sous forme de texte Base64url. Elle n'a aucun sens lisible en elle-même et prouve seulement que l'en-tête et le payload n'ont pas été modifiés. Le décodeur l'affiche sous forme de texte et ne la vérifie pas.

Le décodeur lit actuellement les octets du payload un par un au lieu de les lire en UTF-8, si bien que José s'affiche José et que les emoji deviennent des symboles étranges. Le jeton lui-même est correct. Les revendications en ASCII simple, comme sub, iat et exp, ne sont pas concernées.