Décodeur JWT — Décodage de JSON Web Tokens (sans vérification)
Décodez et analysez les JSON Web Tokens (JWT) avec notre Décodeur JWT. L'outil sépare automatiquement le token en ses trois parties (en-tête, charge utile, signature) et affiche le contenu décodé en JSON formaté. Affiche l'algorithme de signature de l'en-tête et vérifie le claim d'expiration (exp) par rapport à l'heure actuelle. Remarque : cet outil ne fait que décoder les tokens et ne vérifie pas les signatures. La vérification nécessite le secret partagé (HS*) ou la clé publique (RS*, ES*, PS*) et doit se faire côté serveur. Toutes les opérations sont effectuées localement dans votre navigateur.
Outils similaires
- Convertisseur Punycode Convertissez les noms de domaine internationaux (IDN) en Punycode et vice versa. Outil pour transformer domaines Unicode en format ASCII-compatible pour DNS.
- Encodeur Base64 Encodez et décodez du texte et des fichiers au format Base64 avec support glisser-déposer. Encodage URL-safe et aperçu en temps réel pour le développement web.
- Encodeur URL Encodez et décodez des URL, paramètres de requête et composants URI. Outil avec analyseur URL intégré pour extraire protocole, hôte et paramètres de requête.
- Encodeur d'entités HTML Convertissez le texte en entités HTML et vice versa. Outil d'échappement avec entités nommées ( ), décimales numériques ( ) et hexadécimales ( ).
Fonctionnalités
- Décodage de l'en-tête : affiche l'algorithme (alg) et le type de jeton (typ)
- Extraction de la charge utile : décode les revendications et données utilisateur
- Vérification d'expiration : détecte automatiquement si le jeton a expiré
- Mise en évidence syntaxique : JSON coloré pour une meilleure lisibilité
- Affichage de la signature : montre la signature encodée en Base64URL
- Côté client : tout le traitement se fait localement dans votre navigateur
Informations de sécurité importantes
- Décoder ≠ vérifier : cet outil ne fait que décoder le JWT. Il ne vérifie PAS la signature.
- Ne faites jamais confiance à un jeton non vérifié : validez toujours les signatures côté serveur avant d'utiliser les données.
- Données sensibles : les JWT sont encodés en Base64, pas chiffrés. N'importe qui peut les décoder.
- Clés secrètes : ne collez jamais de clés secrètes dans des outils en ligne ou du code côté client.
Pour les applications en production, utilisez des bibliothèques dédiées comme jsonwebtoken (Node.js), PyJWT (Python) ou firebase/php-jwt (PHP).
Structure d'un JWT
Un JWT se compose de trois parties encodées en Base64URL et séparées par des points (.):
Header
Contient les métadonnées du jeton :
alg: algorithme (HS256, RS256...)typ: type de jeton (JWT)
Payload
Contient les revendications :
sub: sujet (ID utilisateur)exp: date d'expirationiat: date d'émission- Revendications personnalisées
Signature
Vérifie l'intégrité du jeton :
- HMAC (secret partagé) ou RSA/ECDSA (clé publique)
- Non vérifiée par cet outil
- Empêche toute altération
Ressources Utiles