Décodeur JWT
Collez un JSON Web Token pour lire son en-tête, son payload et ses claims. Tout est décodé dans votre navigateur : le token ne quitte pas cette page.
Votre token est décodé localement en JavaScript. Rien n'est envoyé à ToolGenie ni à un autre serveur, et rien n'est conservé.
Comment utiliser le décodeur JWT
- Copiez le JSON Web Token depuis la réponse de votre API, l'en-tête Authorization, un cookie ou une ligne de log.
- Collez-le dans le champ ci-dessus : les espaces et les retours à la ligne sont ignorés.
- Cliquez sur "Décoder" pour séparer le token en en-tête, payload et signature.
- Lisez le JSON mis en forme, puis consultez le récapitulatif des claims pour l'émetteur, l'audience et la date d'expiration.
- Utilisez "Copier l'en-tête" ou "Copier le payload" pour coller le JSON dans un ticket ou un test, et "Effacer" pour vider le champ.
Qu'est-ce qu'un décodeur JWT ?
Un JSON Web Token se compose de trois blocs encodés en Base64URL et reliés par des points : un en-tête qui indique l'algorithme de signature, un payload qui porte les claims, et une signature. Un décodeur JWT défait cet encodage pour que vous lisiez l'en-tête et le payload sous forme de JSON lisible plutôt qu'une chaîne opaque dans un fichier de log.
Comme l'en-tête et le payload sont seulement encodés — et non chiffrés — quiconque détient le token peut les lire. C'est précisément ce qui rend ce débogueur utile quand une API renvoie 401, quand une session expire plus tôt que prévu, ou quand il faut confirmer quel émetteur, quelle audience et quel sujet le token transporte réellement. Le récapitulatif convertit les horodatages exp, nbf et iat en dates lisibles et signale si le token est déjà expiré.
Travailler avec des tokens amène souvent vers des outils voisins : l'encodeur et décodeur Base64 pour les segments bruts, le générateur de hash pour les sommes de contrôle et les entrées HMAC, et l'outil de chiffrement et déchiffrement AES lorsqu'une valeur doit vraiment rester secrète et pas simplement encodée.
Questions fréquentes (FAQ)
Comment décoder un token JWT en ligne ?
Collez le token complet dans le champ ci-dessus et cliquez sur "Décoder". L'outil le découpe aux points, décode les deux premiers segments en Base64URL et affiche l'en-tête et le payload en JSON mis en forme.
Ce décodeur JWT vérifie-t-il la signature ?
Non. Il décode uniquement. Vérifier la signature suppose le secret partagé ou la clé publique de l'émetteur, et le faire dans un navigateur reviendrait à confier votre clé de signature. Vérifiez toujours côté serveur avant de faire confiance à un claim.
Est-il prudent de coller un JWT dans un décodeur en ligne ?
Ici, le décodage s'exécute entièrement dans votre navigateur et le token n'est jamais envoyé. Cela dit, un token d'accès actif reste une identifiant sensible : préférez des tokens de test ou expirés, et faites tourner ceux que vous collez dans un outil tiers.
Comment lire le claim exp d'un JWT ?
Le claim exp est un horodatage Unix en secondes, pas en millisecondes. Le récapitulatif ci-dessus affiche le nombre brut à côté de la date locale et indique si le token était expiré au moment du décodage.
Pourquoi mon JWT ne se décode-t-il pas ?
Les causes habituelles sont un troisième segment manquant, une copie qui a perdu des caractères à la fin, ou un préfixe "Bearer" resté collé. Un JWT valide comporte exactement trois parties Base64URL séparées par deux points.
Un JWT est-il chiffré ou seulement encodé ?
Un JWT signé classique (JWS) est seulement encodé en Base64URL : le payload est donc lisible par tous. La signature prouve que le token n'a pas été modifié, elle ne masque pas son contenu. N'y placez jamais de mots de passe ni de données sensibles.
Quelle différence entre un parseur JWT et un débogueur JWT ?
Ce sont deux angles du même travail : un parseur transforme le token en données structurées, tandis qu'un débogueur aide en plus à comprendre pourquoi il est rejeté — mauvaise audience, nbf décalé par l'horloge, ou exp déjà dépassé.
Conseils pour travailler avec les JSON Web Tokens
- Conseil 1 : Quand un token est refusé, comparez d'abord exp et nbf à l'horloge de votre serveur : quelques minutes de décalage expliquent la plupart des 401 mystérieux.
- Conseil 2 : Gardez un payload compact. Le token accompagne chaque requête, donc chaque claim superflu coûte de la bande passante à tous les appels.
- Conseil 3 : Contrôlez la valeur "alg" de l'en-tête. Un token qui arrive avec "none", ou avec un algorithme que votre API n'attendait pas, est un signal d'alerte à examiner.
- Conseil 4 : Les secrets de signature méritent autant de soin que les mots de passe : créez-en un avec le générateur de mots de passe et vérifiez son entropie avec le testeur de robustesse de mot de passe avant qu'il ne protège vos tokens en production.