Décodeur JWT Gratuit en Ligne
Décodez et vérifiez des tokens JWT instantanément sans serveur.
Who uses the Décodeur JWT?
- Développeurs backend déboguant des problèmes d'authentification en inspectant le contenu de la charge utile du jeton.
- Ingénieurs sécurité auditant la structure des revendications et les paramètres d'expiration des JWT lors de tests d'intrusion.
- Développeurs frontend vérifiant les rôles et permissions utilisateur intégrés dans les jetons d'authentification.
How the Décodeur JWT works
Collez votre jeton JWT dans le champ de saisie.
L'en-tête et la charge utile sont décodés et affichés instantanément sous forme de JSON formaté.
Si le jeton contient une revendication exp (expiration) ou iat (émission), une date lisible et une étiquette EXPIRED/valid sont ajoutées automatiquement.
Cet outil décode uniquement — il ne vérifie pas la signature.
Tips & tricks
- La vérification d'expiration compare exp à l'horloge de votre appareil — si l'heure système est incorrecte, l'étiquette EXPIRED/valid le sera aussi.
- Un JWT nécessite au moins un en-tête et une charge utile (deux segments séparés par un point) pour être décodé — un jeton sans segment de signature peut quand même être décodé ici.
- Cet outil n'envoie votre jeton nulle part — le décodage se fait entièrement en JavaScript dans votre onglet de navigateur.
- Pour vraiment vérifier une signature (pas seulement lire les revendications), il vous faut le secret de signature ou la clé publique, ainsi qu'une bibliothèque effectuant la vérification cryptographique — cet outil ne le fait pas.
Frequently Asked Questions
Qu'est-ce qu'un JWT et que contient-il ?
Un JWT (JSON Web Token) est un format de jeton compact et autonome. Il comporte trois parties encodées en base64url séparées par des points : En-tête (algorithme et type) . Charge utile (revendications — données utilisateur, expiration, émetteur) . Signature (vérification).
Est-il sûr de coller des JWT dans cet outil ?
Le décodage s'effectue entièrement dans votre navigateur — aucun jeton n'est envoyé à un serveur. Néanmoins, par prudence générale, évitez de coller des jetons d'accès de production pour des comptes actifs dans un outil en ligne quel qu'il soit.
Quelles sont les revendications JWT courantes (iss, sub, exp, iat) ?
iss = émetteur (qui a créé le jeton). sub = sujet (ID utilisateur). exp = heure d'expiration (timestamp Unix). iat = heure d'émission (création). nbf = non valide avant. aud = audience (destinataire prévu).
Puis-je vérifier une signature JWT avec cet outil ?
Non — cet outil décode uniquement l'en-tête et la charge utile ; il ne vérifie pas la signature. Pour vérifier une signature, utilisez une bibliothèque côté serveur dans le langage d'émission de votre jeton, ou une bibliothèque JWT dédiée prenant en charge la vérification de signature.
Pourquoi puis-je décoder un JWT sans connaître le secret ?
L'en-tête et la charge utile sont encodés en base64url, pas chiffrés. N'importe qui peut les décoder. La signature protège l'intégrité — sans le secret/la clé, vous ne pouvez pas falsifier un JWT valide ni en vérifier un existant.
Is my data safe when using the Décodeur JWT?
Completely safe. The Décodeur JWT processes everything locally in your browser. No input data, results, or usage information is ever transmitted to or stored on any server.
Can I use the Décodeur JWT output in commercial projects?
Yes. The Décodeur JWT is a utility tool and its output carries no licensing restrictions. You are free to use results in any project, commercial or personal.
Does the Décodeur JWT follow official standards?
Yes. The Décodeur JWT is built to comply with the relevant industry standard or specification for this utility type. If you encounter an unexpected result, verify your input against the specification — edge cases outside the standard may produce undefined behaviour.