Décodeur JWT en ligne
Voyez ce que contient un JSON Web Token, et s’il a expiré.
Le préfixe « Bearer », les guillemets et les retours à la ligne sont retirés pour vous
Suivant : Encoder / décoder en Base64 · Convertisseur de timestamp Unix
Signaler un problème avec cet outil
Comment utiliser Décodeur JWT
Collez votre jeton
Collez un JWT. Le préfixe « Bearer », les guillemets et les retours à la ligne sont retirés pour vous.
Lisez les parties
L’en-tête, le payload et la signature ont chacun leur couleur, et l’en-tête et le payload s’affichent en JSON bien rangé.
Vérifiez les claims
Les claims standard sont expliqués, les heures s’affichent en dates et un badge indique si le jeton est encore valide.
Pourquoi utiliser Utils365
L’expiration en un coup d’œil
Lisez « Expiré il y a 2 heures » ou « expire dans 3 jours » au lieu de calculer exp et iat à la main.
Des claims en clair
iss, sub, aud, exp, nbf, iat et jti sont expliqués un par un, pour savoir ce que le jeton dit de son utilisateur.
Des erreurs claires
Si un jeton est tronqué ou abîmé, vous savez quelle partie pose problème. Les jetons chiffrés sont aussi reconnus.
Confidentialité garantie
Le décodage a lieu dans votre navigateur : le jeton que vous collez n’est jamais envoyé, ni à nous ni à personne.
Foire aux questions
Qu’est-ce qu’un JWT ?
Un JSON Web Token est un court texte signé que les applis utilisent pour dire qui vous êtes, souvent envoyé sous la forme « Authorization: Bearer … ». Il comporte trois parties séparées par des points : un en-tête, un payload de claims et une signature.
Un JWT est-il chiffré ?
En général, non. L’en-tête et le payload sont seulement encodés en Base64URL, donc toute personne qui a le jeton peut les lire. Ne mettez jamais de mot de passe ou de secret dans le payload d’un JWT.
L’outil vérifie-t-il la signature ?
Non. Il décode le jeton pour que vous puissiez le lire. Vérifier la signature demande le secret ou la clé publique, et doit être fait par le serveur qui accepte le jeton.
Est-ce sûr de coller un jeton ici ?
Le décodage se fait entièrement dans votre navigateur et rien n’est envoyé. Traitez tout de même un jeton actif comme un mot de passe : évitez de coller des jetons de production n’importe où si vous ne pouvez pas les révoquer ou les renouveler.
Comment savoir quand un JWT expire ?
Regardez le claim exp. C’est un timestamp Unix en secondes, que cet outil affiche sous forme de date avec le temps restant, ou depuis quand il a expiré.
Pourquoi mon jeton a-t-il cinq parties ?
C’est un jeton chiffré (JWE). Son contenu ne peut être lu qu’avec la clé pour laquelle il a été chiffré, il ne peut donc pas être décodé ici.