Décodeur JWT

Décoder et inspecter instantanément les jetons Web JSON

Le décodeur JWT est un outil en ligne gratuit pour décoder, analyser et inspecter les jetons Web JSON (JWT). Affichez instantanément l'en-tête, la charge utile, la signature et les revendications du jeton. Déboguez les jetons d'authentification et d'autorisation utilisés dans OAuth 2.0, OpenID Connect et les applications Web modernes. Fonctionne entièrement dans votre navigateur avec une confidentialité totale - aucun jeton n'est jamais envoyé à nos serveurs.

How to Use JWT Decoder

Decoding JWT tokens is simple and instant:

Step 1: Paste Your JWT Token
Paste your complete JWT token into the input field. JWT tokens typically start with 'eyJ' and contain three parts separated by dots (header.payload.signature).
Step 2: Automatic Decoding
The token is automatically decoded and parsed in real-time. No need to click any button - results appear instantly as you paste.
Step 3: Inspect Token Parts
View the decoded header (algorithm, type), payload (claims, expiration, issued-at), and signature. Each part is displayed in formatted JSON for easy reading and debugging.

All JWT decoding and parsing happens locally in your browser using JavaScript. Your tokens never leave your device and are never sent to our servers, ensuring complete privacy and security.

form.title

JWT Token Input

Cas d'utilisation

usecases.intro

Débogage d'authentification API

Lorsque les requêtes API échouent en raison d'erreurs d'authentification, décodez le JWT pour vérifier le temps d'expiration, l'émetteur et les claims d'audience afin d'identifier la cause racine.

Audit de sécurité

Inspectez les JWTs utilisés dans votre application pour vérifier que les données sensibles ne sont pas exposées dans le payload et que des algorithmes appropriés sont utilisés.

Développement et tests

Pendant le développement, vérifiez rapidement que les tokens générés contiennent les claims, rôles et permissions corrects avant les tests d'intégration.

Analyse d'expiration des tokens

Vérifiez les claims 'exp' et 'iat' pour comprendre les périodes de validité des tokens et résoudre les problèmes de timeout de session dans votre application.

Apprentissage de la structure JWT

Les étudiants et développeurs novices en JWT peuvent visualiser la structure en trois parties (en-tête, payload, signature) pour mieux comprendre le fonctionnement de l'authentification par tokens.

Qu'est-ce que JWT (JSON Web Token) ?

JWT (JSON Web Token) est un standard ouvert (RFC 7519) permettant de transmettre des informations de manière sécurisée entre parties sous forme d'objet JSON. Compact et sûr pour les URL, il est largement utilisé pour l'authentification et l'échange d'informations dans les applications web modernes.

Structure en trois parties

Un JWT se compose de trois parties séparées par des points : l'en-tête (algorithme et type de token), le payload (claims et données) et la signature (hash de vérification). Chaque partie est encodée en Base64URL pour une transmission sécurisée.

Cas d'utilisation courants

Les JWTs sont principalement utilisés pour l'authentification (sessions de connexion), l'autorisation (contrôle d'accès) et l'échange sécurisé d'informations entre services. Ils sont sans état, éliminant le besoin de stockage de session côté serveur.

Considérations de sécurité

Bien que les JWTs soient signés pour empêcher la falsification, le payload est uniquement encodé, pas chiffré. Ne stockez jamais de données sensibles comme les mots de passe dans les JWTs. Vérifiez toujours les signatures côté serveur et utilisez HTTPS pour la transmission.

Frequently Asked Questions (FAQ)

What is the difference between decoding and verifying a JWT?

Decoding means extracting and reading the header and payload from the token using Base64Url decoding - anyone can do this. Verifying means checking the signature to ensure the token wasn't tampered with - this requires the secret key or public key. Our tool only decodes tokens; signature verification must be done on your secure server.

Is it safe to paste my JWT token here?

Our tool processes tokens entirely in your browser - nothing is sent to servers. However, you should still be cautious with production tokens. For maximum security, only use test/development tokens, or use this tool offline by saving the webpage locally.

Why does my JWT start with 'eyJ'?

All JWTs start with 'eyJ' because the header JSON (typically {"alg":"HS256","typ":"JWT"}) begins with '{"' which Base64Url encodes to 'eyJ'. This is a reliable indicator that a string is a JWT token.

Can this tool verify JWT signatures?

No, signature verification requires the secret key (HMAC algorithms) or public key (RSA/ECDSA algorithms). Entering these keys into an online tool would be a serious security risk. Always verify signatures on your own secure servers using trusted libraries.

What does 'exp' mean in the payload?

The 'exp' (expiration) claim is a Unix timestamp indicating when the token expires. Tokens should be rejected after this time. For example, 'exp': 1735689600 means the token expires on January 1, 2025 at 00:00:00 UTC.

My token has three dots instead of two. Is it valid?

Standard JWTs have exactly two dots separating three parts (header.payload.signature). Extra dots indicate the token may be malformed, double-encoded, or not a standard JWT. Check your token generation code.

Can I use this tool for OAuth 2.0 tokens?

Yes! OAuth 2.0 access tokens and ID tokens (from OpenID Connect) are often JWTs. You can decode them to view user information, scopes, expiration times, and other claims. However, some OAuth providers use opaque tokens (random strings) which cannot be decoded.

What is the 'none' algorithm and why is it dangerous?

The 'none' algorithm means the token has no signature. If a server accepts tokens with 'alg': 'none', attackers can forge tokens by creating header/payload with any claims and no signature. Secure systems should always reject tokens with the 'none' algorithm.