Décodeur JWT gratuit en ligne

Définition et usage principal

Un JWT, ou JSON Web Token, est un jeton composé d'un header, d'un payload et d'une signature. Il transporte des claims utilisés par les API et systèmes d'authentification.

Intention principale: Décoder un token JWT pour inspecter ses claims, vérifier sa structure et comprendre son contenu pendant un debug API.

Décoder un JSON Web Token (JWT)

Un JWT (JSON Web Token) est un jeton compact utilisé pour transporter des informations signées entre deux parties (authentification, autorisation, sessions).

Un outil de décodage affiche le header et le payload pour vérifier les champs (sub, aud, exp) sans modifier le token.

Décodage vs vérification de signature

Décoder un JWT ne prouve pas qu’il est valide : la validité dépend de la signature et de la clé (secret ou clé publique).

• inspecter exp pour vérifier la date d’expiration
• contrôler iss/aud pour éviter un token d’un autre environnement
• utiliser un mode “verify” si tu as la clé et l’algorithme

Cas d’usage courants

Debug API

Lire les claims sub, aud, exp, iss ou scope envoyés à une API.

Authentification

Comprendre un token issu d'OAuth, OpenID Connect ou d'un backend maison.

Tests de signature

Regénérer un token HS256 de test avec un secret connu.

Support technique

Identifier rapidement un token expiré ou mal formé.

Comment utiliser l’outil

1. Collez le JWT dans le champ token.
2. Lisez le header et le payload décodés.
3. Modifiez éventuellement les claims de test.
4. Regénérez une signature HS256 si vous disposez du secret adapté.

Bonnes pratiques

• Ne jamais coller de token de production contenant des données sensibles.
• Vérifier l'expiration exp et l'audience aud.
• Ne pas confondre décodage et vérification de signature.
• Utiliser des clés fortes pour les tokens signés.

Erreurs fréquentes

Croire que le payload est chiffré

Un JWT signé est encodé, pas chiffré. Son contenu peut être lu par toute personne qui possède le token.

Ignorer exp

Un token expiré peut être lisible mais ne doit plus être accepté.

Confondre decode et verify

Décoder affiche le contenu ; vérifier prouve que la signature correspond à une clé.

Termes et recherches liés