Go Toolstack

Décodeur & Inspecteur de Token JWT

Décodez les tokens JSON Web Token, examinez le header, payload et expiration.

Décodeur & Inspecteur de Token JWT

Décodez les tokens JSON Web Token, examinez le header, payload et expiration.

Comment ça fonctionne

1
Saisissez votre texte
Tapez ou collez votre texte ou code dans le champ.
2
Appliquez le traitement
Lancez l'outil pour filtrer, transformer ou analyser.
3
Copiez le résultat
Copiez la sortie nettoyée dans votre presse-papiers.

Découvrez d'autres utilitaires côté client dans cette catégorie

Pôle Outils de Développement • Flux de travail et guide de comparaison

Découvrez tous les outils de outils de développement, les limites techniques et le guide de sélection.

Explorer le pôle →
Formateur & Validateur JSON

Formatez, compressez et validez vos données JSON avec précision 64 bits et règles JSON Schema (Draft-07 / 2020-12).
Encodeur & Décodeur Base64

Convertissez du texte en Base64 et décodez instantanément vos chaînes.
Formateur & Embellisseur SQL

Formatez et indentez vos requêtes SQL complexes selon les standards.

Guides de blog associés

Guides techniques, dépannage et tutoriels de bonnes pratiques

Centre d'Expertise & Architecture Technique

Décodeur JWT (JSON Web Token), Débogueur & Validation RFC 7519

Le JSON Web Token (JWT), normalisé par l'IETF dans la spécification RFC 7519, est une norme ouverte compacte et autonome employée massivement pour la transmission sécurisée d'assertions d'identité et de droits d'accès entre deux parties au sein d'architectures web modernes et microservices. Composé de trois segments distincts sérialisés en Base64URL et séparés par des points (en-tête, charge utile de données et signature cryptographique), le JWT est le standard de référence des protocoles OAuth 2.0 et OpenID Connect (OIDC).

Un développeur d'applications mobiles inspecte un jeton d'authentification Bearer renvoyé par un service d'autorisation d'entreprise. En collant le jeton compact dans l'outil, le décodeur sépare immédiatement les trois segments sans altération : il identifie dans l'en-tête (Header) l'algorithme cryptographique RS256 (RSA Signature avec SHA-256) et l'identifiant de clé kid. Dans la charge utile (Payload), il décompose les revendications (Claims) standardisées : l'émetteur iss: https://auth.entreprise.com, le sujet sub: usr_8923a1, les rôles RBAC (admin, billing) ainsi que les horodatages UNIX. L'inspecteur vérifie en temps réel le marqueur d'expiration exp (1758812400) et confirme visuellement que le jeton reste valide pour encore 42 minutes et 15 secondes, évitant aux équipes de perdre du temps à déboguer une fausse erreur 401 Unauthorized.

Contrairement à certains outils en ligne tiers qui transmettent les jetons vers des serveurs distants, ce débogueur s'exécute intégralement côté client. Vos jetons de session, clés d'API et identifiants de production ne quittent jamais votre navigateur.

Architecture Fondamentale & Modélisation Mathématique

Structure JWT RFC 7519 : base64url(Header) . base64url(Payload) . Signature

L'en-tête précise l'algorithme (alg) et le type de jeton ; la charge utile contient les revendications applicatives (claims) ; la signature est générée par HMAC ou chiffrement asymétrique RSA/ECDSA.

Directives d'Ingénierie & Bonnes Pratiques

  • Ne jamais stocker d'informations sensibles en clair dans la charge utile : Le JWT est simplement encodé en Base64URL et non chiffré ; n'importe qui peut lire les revendications sans détenir la clé secrète.
  • Contrôler impérativement l'algorithme de signature côté serveur : Bloquez formellement l'algorithme 'none' et vérifiez que l'algorithme utilisé correspond exactement à celui attendu par votre passerelle d'API pour parer les attaques par substitution de clé.
  • Définir des durées de vie courtes pour les jetons d'accès : Limitez la validité du token (revendication 'exp') à 15 ou 60 minutes et utilisez un mécanisme de jeton de rafraîchissement (Refresh Token) révocable pour renouveler la session.
  • Vérifier scrupuleusement l'émetteur (iss) et le destinataire (aud) : Validez toujours lors du décodage applicatif que le jeton a bien été émis par votre serveur d'authentification et qu'il est destiné à votre propre API cliente.

Foire Aux Questions & Réponses d'Experts (FAQ)

Un jeton JWT est-il chiffré et secret ?
Non. Un JWT classique (JWS) est seulement signé et encodé en Base64URL, ce qui signifie que son contenu est lisible par n'importe qui. Pour chiffrer la charge utile afin qu'elle reste secrète, il faut utiliser la norme JWE (JSON Web Encryption).
Comment vérifier si mon jeton JWT est expiré ?
Le décodeur compare l'horodatage UNIX de la revendication 'exp' (expiration time) de la charge utile avec l'heure courante de votre système. Si l'heure courante est supérieure à cette valeur, le jeton est périmé et rejeté.
Quelle est la différence entre un jeton signé avec HS256 et un jeton avec RS256 ?
HS256 est un algorithme symétrique qui utilise un secret partagé unique pour signer et vérifier. RS256 est asymétrique : le serveur d'authentification signe avec une clé privée, et n'importe quel service peut vérifier le jeton avec la clé publique correspondante.
Mes jetons d'authentification sont-ils envoyés sur vos serveurs lors du décodage ?
Absolument pas. Tout le décodage et la validation des revendications ont lieu exclusivement dans la mémoire locale de votre navigateur internet. Aucune donnée secrète n'est transmise sur le réseau.