Décodez un JSON Web Token en trois segments en objets JSON UTF-8, inspectez ses claims et dates, puis visualisez la signature sans prétendre la vérifier. Utile pour les développeurs qui diagnostiquent des problèmes d'authentification, d'expiration ou de configuration de tokens. Le décodage est instantané et local.
Outils JWT
Jeton JWT
Glisser & déposer pris en charge
En attente d'entrée. Sélectionnez un jeton de démo pour remplir instantanément l'interface.
Un JWT standard se compose de trois morceaux séparés par des points : l'en-tête définissant les opérations cryptographiques, la charge utile stockant les propriétés de l'entité, et la signature vérifiant la confiance.
Claims OAuth décodés (${count})
Collez un jeton JWT à gauche pour décoder.
Ce décodeur inspecte les JWT compacts en trois parties : des claims lisibles ne prouvent ni signature, ni émetteur, ni audience, ni clé, ni autorisation.
Suivez ce flux propre à Décodeur JWT ; chaque étape correspond aux commandes et limites réelles de l’espace de travail dans le navigateur.
Étape 1
Collez le token compact complet avec ses deux points, sans préfixe Bearer, guillemets ni JWE en cinq segments.
Étape 2
N’utilisez un exemple que pour apprendre ; gardez inchangé le token réel à diagnostiquer, sans fournir de clé.
Étape 3
Lancez le décodage Base64URL des deux objets JSON UTF-8.
Étape 4
Examinez alg, exp/nbf/iat, iss, aud, sub et les claims propres ; la vue de signature montre des octets, pas un verdict.
Étape 5
Copiez seulement le diagnostic utile puis transmettez le token inchangé au Vérificateur JWT ou au service émetteur.
Conséquence: N’importe qui peut réencoder un payload ; aucun secret ou clé ne lie ici les données à un émetteur.
Correction: Vérifiez la signature puis imposez algorithme, émetteur, audience, durée et autorisations dans le système destinataire.
Conséquence: Un JWE a cinq segments et « Bearer … » contient un espace : la règle trois segments/Base64URL les refuse.
Correction: Retirez le préfixe et utilisez seulement un JWT/JWS compact en trois parties avec objets JSON.
Conséquence: NumericDate exprime des secondes depuis l’époque Unix ; des millisecondes produisent des dates très éloignées.
Correction: Confirmez l’unité de l’émetteur et traduisez indépendamment la valeur brute avec Epoch Converter.
Décodez le token inchangé, explorez ses objets imbriqués, puis vérifiez les HMAC pris en charge avec le secret exact.
Les deux premières sections Base64URL donnent des objets JSON UTF-8. La troisième est visualisée sans clé ni vérification.
Non. iss reste un texte contrôlé par le token tant qu’une signature et une liste d’émetteurs fiables ne l’ont pas validé.
Une troisième section vide reste inspectable avec avertissement pour diagnostiquer alg=none ou une erreur ; elle n’est jamais rendue fiable.
Non. Le JWE compact a cinq segments ; l’implémentation exige trois parties et des objets JSON lisibles.
Les nombres sont comparés en secondes Unix entières à l’horloge du navigateur ; iat futur produit un avertissement.
Non. Espaces, ordre, octets Base64URL et surtout signature changent ; toute modification exige une nouvelle signature.
Le token compact et ses claims restent en mémoire dans ce navigateur et ne sont pas téléversés. Le mode hors ligne fonctionne après cache ; copies, captures et extensions restent sous votre contrôle.
