Qu’est-ce qu’un décodeur JWT ?
Le décodeur JWT analyse les JSON Web Tokens en leurs trois parties afin que vous puissiez inspecter l’en-tête, les revendications de la charge utile, l’algorithme et le segment de signature. Il est utile pour le débogage de l’authentification, la vérification de l’expiration et la compréhension du contenu réel d’un jeton sans l’envoyer à un serveur.
Comment utiliser le décodeur JWT
- Collez le JWT dans la zone de saisie.
- Passez en revue les sections d’en-tête et de charge utile décodées.
- Inspectez les revendications telles que exp, iss, aud, sub et les champs personnalisés.
- Copiez les valeurs décodées ou comparez-les aux attentes de votre flux d’authentification.
Comprendre les JWT ▾
Exemple
Cas d’utilisation courants
- Inspecter les revendications du jeton lors du débogage d’API et d’authentification
- Vérifier les valeurs d’expiration, d’émetteur, d’audience et de sujet sans outil backend
- Confirmer quel algorithme de signature et quelle structure de jeton un système utilise
- Expliquer comment les segments d’en-tête, de charge utile et de signature d’un JWT s’articulent
Pourquoi utiliser cet outil
- Aide à déboguer les parcours de connexion, l’autorisation d’API et les problèmes d’expiration de jeton.
- Rend la structure des JWT plus facile à expliquer aux collègues et aux parties prenantes.
- S’exécute localement : les jetons collés ne sont pas envoyés lors de l’inspection.
Questions fréquentes
Oui. Le décodage s’effectue entièrement dans votre navigateur et le jeton n’est jamais envoyé à un serveur. Cela dit, évitez de coller des jetons de production contenant des revendications sensibles dans un outil public, sauf si vous êtes certain qu’il fonctionne uniquement côté client.
Non. La vérification de la signature nécessite le secret (HMAC) ou la clé publique (RSA/EC). Cet outil décode uniquement l’en-tête et la charge utile encodés en Base64URL ; la vérification doit être effectuée sur votre serveur.
La revendication exp est un timestamp Unix indiquant le moment où le token cesse d’être valide. Si l’heure actuelle dépasse ce timestamp, le serveur rejettera le token et vous devrez vous réauthentifier.
Les cookies de session stockent un ID de session sur le serveur et le consultent à chaque requête. Les JWT sont autonomes : toutes les revendications sont dans le token lui-même, donc aucun stockage de session côté serveur n’est nécessaire. Cela rend les JWT utiles dans les systèmes distribués sans état.