Décodeur JWT
- Les fichiers ne quittent pas votre appareil
- S’exécute dans le navigateur
- Gratuit, sans compte, sans filigrane
Comment utiliser Décodeur JWT
Collez un JSON Web Token pour lire son en-tête et sa charge utile, chaque revendication standard étant expliquée et les horodatages comme exp et iat affichés en dates. Le jeton est décodé localement et n'est jamais envoyé ni enregistré. Cet outil ne fait que décoder ; il ne vérifie pas les signatures.
- 1
Collez le jeton dans Jeton encodé. Un « Bearer » initial est retiré pour vous.
- 2
Lisez l'En-tête et la Charge utile décodés, affichés en JSON mis en forme.
- 3
Consultez l'État pour voir si le jeton est expiré ou pas encore valide, et ce que signifie l'algorithme de signature.
- 4
Utilisez le tableau Revendications pour le sens de chaque revendication et les dates dans votre fuseau horaire et en UTC.
Questions fréquentes
Est-il prudent de coller ici un jeton de production ?
Le jeton est décodé dans votre navigateur et n'est jamais envoyé ni enregistré. Traitez tout de même les jetons en service comme des mots de passe, et ne les collez que sur un appareil auquel vous faites confiance.
Vérifie-t-il la signature ?
Non. Il ne fait que décoder. N'importe qui peut créer un jeton avec n'importe quel contenu, ne faites donc pas confiance aux revendications tant que votre serveur n'a pas vérifié la signature avec la bonne clé.
Pourquoi ne peut-il pas décoder la charge utile de mon jeton ?
Un jeton de 5 parties est un JWE chiffré. Seul son en-tête est lisible ; la charge utile exige la clé de déchiffrement.
Comment savoir si un jeton a expiré ?
L'État affiche « Expiré » ou « Expire » avec un temps relatif, plus la durée de vie du jeton lorsque iat et exp sont présents. S'il n'y a pas de revendication exp, l'outil vous indique que le jeton n'expire jamais de lui-même.
Que signifie alg « none » ?
Le jeton n'est pas signé. Les serveurs doivent le rejeter, et l'outil le signale en rouge.