Comment utiliser Décodeur JWT
- 1
Collez le jeton
Collez le JWT provenant d’un en-tête Authorization, d’un cookie ou du stockage de votre application ; un « Bearer » au début est ignoré.
- 2
Lisez les claims
Consultez les tableaux de l’en-tête et de la charge utile, les dates exp, iat et nbf lisibles, ainsi que le bandeau d’expiration.
- 3
Ajoutez la clé
Saisissez le secret HMAC, ou collez la clé publique au format PEM, certificat, JWK ou JWKS.
- 4
Vérifiez la signature
Cliquez sur Vérifier la signature pour confirmer que le jeton a été signé avec cette clé et n’a pas été modifié.
Limites et Pro
Gratuit, sans inscription et sans limite du nombre de jetons ; la vérification prend en charge 13 algorithmes (HS, RS, PS et ES en 256, 384 et 512 bits, plus EdDSA).
Pro supprime les publicités ; le décodage et la vérification sont identiques quelle que soit l’offre. Découvrir Pro
À propos de Décodeur JWT
Un JSON Web Token se compose de trois chaînes Base64URL séparées par des points : un en-tête qui indique l’algorithme de signature, une charge utile contenant des claims, et une signature. Collez-en un, avec ou sans le préfixe « Bearer », et le décodeur affiche l’en-tête et la charge utile sous forme de tableau lisible ou de JSON mis en forme, colore les trois parties du jeton et explique les champs standard comme iss, sub, aud, kid et scope.
Les dates sont converties pour vous : exp, iat, nbf et auth_time apparaissent sous forme de date dans votre fuseau horaire, en UTC et en durée relative (« expire dans 2 heures », « expiré il y a 3 jours »). Un bandeau indique d’un coup d’œil si le jeton est expiré, pas encore valide ou sans expiration, et signale quand exp semble exprimé en millisecondes plutôt qu’en secondes.
Décoder ne prouve rien sur l’émetteur d’un jeton : le vérificateur contrôle donc la signature avec WebCrypto, intégré à votre navigateur. HS256, HS384 et HS512 demandent le secret partagé (texte brut ou Base64). Les algorithmes RS, PS et ES en 256, 384 et 512 bits, ainsi qu’EdDSA avec Ed25519, demandent la clé publique, que vous pouvez coller sous forme de clé publique PEM, de bloc RSA PUBLIC KEY, de certificat X.509, d’un JWK unique ou d’un JWKS complet, dans lequel la clé est choisie grâce au kid du jeton.
L’outil ne peut pas déchiffrer les jetons JWE (ceux à cinq parties) et ne récupère pas les URL de JWKS : ouvrez vous-même le jwks_uri de l’émetteur et collez son JSON.
Confidentialité
Les jetons sont des identifiants porteurs, et cette page les traite comme tels : le décodage et la vérification de signature s’exécutent dans votre navigateur avec WebCrypto, et le jeton, le secret et les clés ne sont jamais envoyés à un serveur, journalisés ni stockés. Fermer ou recharger l’onglet efface tout.
Fonctionnalités
Dates lisibles
exp, iat et nbf dans votre fuseau horaire, en UTC et sous la forme « dans 2 heures » ou « il y a 3 jours ».
Vraie vérification de signature
HMAC, RSA, RSA-PSS, ECDSA et Ed25519 vérifiés avec WebCrypto à partir de votre clé ou de votre JWKS.
Le jeton reste sur votre appareil
Rien n’est envoyé : vous pouvez inspecter des jetons de production en toute sécurité.