Décodez localement un JWT compact et explorez objets et tableaux imbriqués dans un arbre typé et repliable, sans présenter la structure comme une preuve de confiance. Idéal pour inspecter des rôles, scopes et permissions imbriqués dans des tokens complexes. L'arbre reste une vue structurelle uniquement.
Outils JWT
Collez le JWT à inspecter
L'en-tête et la charge utile apparaîtront ici.
L’arbre expose la forme des claims imbriqués via le même parseur JSON en trois segments que le décodeur, mais n’établit jamais leur authenticité.
Suivez ce flux propre à Explorateur arborescent JWT ; chaque étape correspond aux commandes et limites réelles de l’espace de travail dans le navigateur.
Étape 1
Collez le JWT compact complet en trois sections ou chargez l’exemple, sans préfixe Bearer.
Étape 2
Gardez Live pour analyser immédiatement ou désactivez-le puis choisissez Afficher l’arbre une fois le token complet.
Étape 3
Laissez le parseur décoder en Base64URL les objets JSON UTF-8 de l’en-tête et du payload.
Étape 4
Dépliez les branches utiles et contrôlez pour chaque clé le type primitif et la valeur affichés.
Étape 5
Revenez au Décodeur JWT pour les dates ou au Vérificateur JWT pour l’intégrité HMAC.
Conséquence: Le composant rend tout JSON contrôlé par un attaquant et n’appelle jamais la fonction cryptographique.
Correction: Utilisez-le uniquement pour la structure et vérifiez séparément le token compact inchangé.
Conséquence: Le rendu ne reçoit que l’en-tête et le payload ; le troisième segment n’est pas affiché.
Correction: Utilisez le Décodeur JWT pour visualiser ses octets ou le Vérificateur JWT pour un verdict HMAC.
Conséquence: Chaque valeur crée des nœuds React récursifs sans plafond de profondeur ni nombre de clés, ce qui peut figer l’onglet.
Correction: Limitez l’inspection aux branches nécessaires et analysez les tokens anormaux dans un environnement contrôlé.
Décodez, localisez le chemin et le type exacts, puis vérifiez authenticité et politique avant tout usage.
En-tête et payload sont des objets JSON Base64URL valides ; le segment literal « signature » est accepté structurellement mais non vérifié ni affiché.
La racine et le premier niveau sont ouverts initialement ; les branches plus profondes restent repliées pour limiter le bruit.
Non. Il révèle type et emplacement ; seule la politique d’une application après vérification donne un sens d’autorisation.
Oui. Ils reçoivent des enfants indexés et un nombre d’éléments replié, tandis que les objets ont des clés nommées.
Cinq parties signalent généralement un JWE compact ; ce parseur exige trois segments JWT/JWS.
On peut le lire comme donnée non fiable, jamais lui faire confiance ; cet arbre ne rend aucun verdict de signature.
Le texte du token et l’arbre déplié restent dans ce navigateur et fonctionnent hors ligne après cache. Le collage n’a lieu qu’après action ; aucun historique n’est persisté.
