Décoder un JWT
Lisez l’en-tête et le contenu d’un jeton JWT dans votre navigateur, sans l’envoyer à aucun serveur.
Privé : tout se passe dans votre navigateur et ce que vous saisissez n’est jamais envoyé. Comment le vérifier
Vos fichiers sont traités ici, sur votre appareil
Nous n’envoyons le contenu de vos fichiers ou textes à aucun serveur : tout est traité dans la mémoire de votre navigateur. Aucun compte n’est nécessaire, il n’y a pas de quota quotidien et nous n’utilisons ni mesure d’audience ni traceurs. Chaque outil a des limites de taille pour protéger la mémoire de l’appareil.
Une connexion n’est nécessaire que pour charger le site. Ensuite, vous pouvez vous déconnecter et les outils continuent de fonctionner (certains aperçus peuvent exiger la connexion). L’hébergeur peut recevoir des données techniques de visite. Les favoris ne conservent que des identifiants d’outils dans ce navigateur.
Comment nous traitons vos données →Comment utiliser cet outil
- Collez le jeton complet, avec ses trois parties.
- Décodez et examinez l’en-tête et le contenu.
- Vérifiez l’expiration et rappelez-vous que la signature n’est pas vérifiée.
Un exemple que vous pouvez vérifier
Lit le contenu d’un jeton JWT sans l’envoyer à aucun serveur.
Exemple d'entrée
A sample token with a name, issue time and expiry.
Résultat attendu
The header, the JSON payload and key facts: algorithm, issue time, expiry and state.
Décoder ne valide pas le jeton. Pour lui faire confiance, vérifiez sa signature sur votre serveur avec la clé de l’émetteur.
Décoder un JWT: usages et conseils pratiques
Un JWT (JSON Web Token) est une chaîne en trois parties séparées par des points : en-tête, contenu et signature. Les deux premières sont du JSON encodé en Base64URL, non chiffré ; toute personne disposant du jeton peut donc les lire. C’est pourquoi un JWT ne doit pas contenir de secrets comme des mots de passe. Cet outil décode les deux parties dans votre navigateur et les affiche mises en forme, avec l’algorithme déclaré et les dates d’émission et d’expiration en UTC.
Décoder n’est pas valider. La signature garantit que le contenu n’a pas été modifié et qu’il a été émis par le détenteur de la clé, mais la vérifier exige cette clé et se fait sur le serveur qui reçoit le jeton. Un jeton à signature erronée se décode quand même. Les informations affichées servent donc à déboguer et à comprendre une intégration, non à décider si une requête est digne de confiance.
L’état indique si la date d’expiration est déjà passée d’après l’horloge de votre appareil. Un jeton peut ne pas avoir d’expiration ou avoir un début de validité futur. Même si tout est traité localement, manipulez les jetons réels avec précaution : les coller dans un chat, un document partagé ou un site externe peut donner accès à quiconque les voit. En cas de doute, utilisez un jeton de test et révoquez celui que vous avez exposé.
Pour déboguer une intégration, commencez par l’algorithme et les dates. Un algorithme inattendu, comme none, est un signal d’alerte dans tout système qui reçoit des jetons. Si un jeton est refusé, comparez son expiration à l’heure du serveur, car une horloge décalée explique de nombreuses pannes intermittentes. Vérifiez aussi l’émetteur et l’audience, qui doivent correspondre à ce que votre service attend. Lorsque vous partagez un exemple dans un ticket, remplacez les données personnelles et la signature par des valeurs fictives : un jeton réel, même expiré, peut révéler des identifiants internes.
Un contrôle pratique avant d’utiliser le résultat
Modifiez une lettre de la signature du jeton d’exemple : il se décode quand même, ce qui montre que l’outil ne vérifie pas les signatures. Modifiez une lettre du contenu et observez comment le JSON change ou une erreur de format apparaît.
Options et limites
Collez un jeton avec ses trois parties séparées par des points (le préfixe Bearer est accepté). L’en-tête et le contenu sont décodés et l’outil affiche l’algorithme, la date d’émission, l’expiration et si le jeton a déjà expiré. La signature n’est pas vérifiée : lire un jeton ne prouve pas qu’il est authentique. Tout se passe sur votre appareil.
Questions fréquentes
Vérifie-t-il que le jeton est valide ?
Non. Décoder consiste seulement à lire des données encodées en Base64URL. Pour savoir si le jeton est authentique, il faut vérifier sa signature avec la clé de l’émetteur sur votre serveur.
Est-ce gratuit et faut-il s’inscrire ?
Oui, c’est gratuit. Pas d’inscription, pas de compte, pas d’application à installer, et aucun quota quotidien : ouvrez l’outil et utilisez-le. Seules des limites de taille protègent la mémoire de votre appareil.
Mes données sont-elles envoyées à un serveur ?
Non. Ce que vous saisissez ou collez est traité dans la mémoire du navigateur et n’est envoyé à aucun serveur. Vous pouvez le vérifier avec l’onglet Réseau ou en vous déconnectant après le chargement de la page.
Guides
Découvrez les trois parties d’un JWT, ce que signifie chaque date et pourquoi décoder un jeton n’est pas le valider.
Utilisez l’onglet Réseau du navigateur et le mode hors ligne pour voir si un outil de PDF, d’image ou de vidéo envoie votre fichier, et ce que ce test peut ou non prouver.