Outils HTML

Gratuit Décodeur JWT et Inspecteur de Revendications

Décodez des jetons JWT pour inspecter l'en-tête, les revendications du payload et les horodatages. Tout le décodage se fait localement – aucun jeton n'est envoyé à un serveur.

Chargement de l'outil...

Qu'est-ce que Décodeur JWT et Inspecteur de Revendications ?

Un décodeur JWT basé sur le navigateur qui décode l'en-tête et le payload des JSON Web Tokens sans envoyer de données. Inspectez les revendications comme sub, iat, exp et nbf avec conversion automatique des horodatages en dates lisibles. L'outil vous avertit des algorithmes non sécurisés (alg: none) et explique l'état de vérification de la signature.

Réponse rapide

Collez un jeton JWT pour décoder son en-tête et son payload. Les horodatages (iat, exp, nbf) sont automatiquement convertis en dates lisibles. Tout le décodage est local – votre jeton n'est jamais téléchargé.

Limites

Ne vérifie pas les signatures JWT – cet outil est uniquement pour inspection, pas pour validation de sécurité. Ne faites jamais confiance aux revendications décodées sans vérification côté serveur.
Ne peut pas décoder les JWT chiffrés (JWE) – seuls les JWT signés (JWS) avec des payloads encodés en base64url sont pris en charge.
La conversion des horodatages utilise le fuseau horaire local du navigateur – l'heure affichée peut différer du fuseau horaire du serveur.

Comment utiliser cet outil

Collez votre jeton JWT dans la zone de saisie.
Examinez l'en-tête décodé (algorithme, type) et le payload (revendications).
Vérifiez les champs d'horodatage pour l'expiration et la date d'émission au format lisible.
Notez tout avertissement de sécurité concernant les algorithmes faibles.

A quoi il sert

Inspectez rapidement un JWT d'une réponse API pour vérifier l'ID utilisateur, les rôles et la date d'expiration.
Déboguez un flux d'authentification en vérifiant si le jeton a expiré ou contient les revendications attendues.
Vérifiez l'algorithme du jeton avant d'implémenter la vérification côté serveur.

Cas d'usage

Exemples concrets

Exemple

Inspecter un jeton d'accès API

Un développeur frontend reçoit un JWT d'un flux OAuth. Il le colle dans le décodeur pour voir l'ID utilisateur (revendication sub), la date d'expiration (exp) et la date d'émission (iat) au format lisible avant d'utiliser le jeton pour les appels API.

Exemple

Déboguer un problème de jeton expiré

Un utilisateur signale une déconnexion inattendue. Le développeur décode le JWT et voit l'horodatage exp converti en heure locale – le jeton a expiré il y a 5 minutes. Il ajuste la logique de rafraîchissement du jeton en conséquence.

Erreurs frequentes

Supposer que le décodage JWT signifie que le jeton est vérifié – le décodage ne fait que lire le contenu, il ne valide pas la signature. N'importe qui peut décoder un JWT sans clé.
Faire confiance aux revendications JWT sans vérifier la signature en production – vérifiez toujours la signature côté serveur avant de faire confiance aux revendications.
Oublier que le payload JWT est encodé en base64url (pas chiffré) – les données sensibles ne doivent jamais être stockées dans les revendications JWT.

Vérification

Collez le jeton JWT par défaut et vérifiez que l'en-tête affiche alg: HS256 et typ: JWT.
Vérifiez que le payload affiche name: John Doe et que les horodatages sont convertis en dates lisibles.

FAQ

Questions sur Décodeur JWT et Inspecteur de Revendications

Cet outil vérifie-t-il les signatures JWT ?

Non. Cet outil décode l'en-tête et le payload pour inspection uniquement. La vérification de la signature nécessite la clé secrète ou publique, qui ne doit jamais être saisie dans un outil de navigation. Pour la vérification des signatures, utilisez une bibliothèque côté serveur comme jsonwebtoken (Node.js) ou PyJWT (Python).

Mes jetons sont-ils envoyés à un serveur ?

Non. Tout le décodage se fait dans votre navigateur avec JavaScript. Le jeton ne quitte jamais votre machine. Vous pouvez le vérifier en vous déconnectant d'Internet après avoir chargé la page – l'outil continue de fonctionner.

Quelle est la différence entre iat, exp et nbf ?

iat (Issued At) est la date de création du jeton. exp (Expiration) est la date à laquelle le jeton devient invalide – après ce moment, le jeton doit être rejeté. nbf (Not Before) est une date avant laquelle le jeton ne doit pas être accepté. Ce sont tous des horodatages Unix en secondes.

Outils lies