Décodeur JWT

Décodeur JWT

Collez n’importe quel JSON Web Token pour décoder instantanément ses trois parties : l’en-tête, le contenu et la signature. Les horodatages d’expiration (exp) et d’émission (iat) sont formatés en dates lisibles.

Structure d’un JWT

Un JWT se compose de trois parties encodées en Base64URL séparées par des points : en-tête.contenu.signature

• En-tête : spécifie le type de token (typ) et l’algorithme de signature (alg).
• Contenu : contient les claims — identité de l’utilisateur, rôles, expiration et données personnalisées.
• Signature : hash cryptographique qui vérifie que le token n’a pas été altéré. Cet outil ne vérifie pas les signatures.

Le payload est seulement encodé en Base64URL, donc lisible par tous : n’y mettez jamais de secret.

Claims JWT courants

• sub — sujet (ID utilisateur)
• iss — émetteur
• aud — audience
• exp — horodatage d’expiration (Unix)
• iat — horodatage d’émission
• nbf — valide à partir de
• jti — identifiant unique JWT

Note de sécurité

Les payloads JWT sont seulement encodés en Base64 — pas chiffrés. Ne jamais mettre d’informations sensibles dans un JWT sans utiliser JSON Web Encryption (JWE). Vérifiez toujours les signatures côté serveur.

Étape par étape

1. Collez le jeton JWT dans le champ prévu.
2. L’en-tête et le contenu (payload) s’affichent en JSON lisible, et la signature en valeur brute.
3. Utilisez les boutons Copier pour récupérer l’en-tête ou le payload.

Questions fréquentes

L’outil vérifie-t-il la signature ?
Non. Il décode seulement le contenu. Utilisez-le pour inspecter un jeton, pas pour valider une authentification.

Puis-je coller un vrai jeton ?
Le décodage se fait dans votre navigateur et le jeton n’est pas envoyé. Traitez néanmoins avec prudence les jetons valides de production, car ils peuvent donner accès à des données.

Que contient le payload ?
Les « claims » : émetteur, destinataire, date d’expiration, données de l’utilisateur, selon ce que l’émetteur y a inscrit.