Décodeur et encodeur JWT gratuit en ligne

Définition et usage principal

Un JWT, ou JSON Web Token, est un jeton composé d'un header, d'un payload et d'une signature. Un décodeur JWT lit ses claims ; un encodeur JWT permet de régénérer un token de test à partir d'un header et d'un payload.

Intention principale: Décoder un token JWT, inspecter ses claims, modifier un payload de test ou régénérer un JWT HS256 pendant un debug API.

Décoder et encoder un JSON Web Token (JWT)

Un JWT (JSON Web Token) est un jeton compact utilisé pour transporter des informations signées entre deux parties (authentification, autorisation, sessions).

Un outil JWT affiche le header et le payload pour vérifier les champs (sub, aud, exp), puis peut régénérer un token de test lorsque le header, le payload et le secret sont fournis.

Décodage vs vérification de signature

Décoder un JWT ne prouve pas qu’il est valide : la validité dépend de la signature et de la clé (secret ou clé publique).

• inspecter exp pour vérifier la date d’expiration
• contrôler iss/aud pour éviter un token d’un autre environnement
• utiliser un mode “verify” si tu as la clé et l’algorithme

Cas d’usage courants

Debug API

Lire les claims sub, aud, exp, iss ou scope envoyés à une API.

Authentification

Comprendre un token issu d'OAuth, OpenID Connect ou d'un backend maison.

Encoder un JWT de test

Modifier le header ou le payload puis régénérer une signature HS256 avec un secret de test.

Support technique

Identifier rapidement un token expiré ou mal formé.

Comment utiliser l’outil

1. Collez le JWT dans le champ token.
2. Lisez le header et le payload décodés.
3. Modifiez éventuellement les claims de test.
4. Ajoutez un secret de test si vous voulez signer en HS256.
5. Regénérez le token pour copier un JWT encodé.

Bonnes pratiques

• Ne jamais coller de token de production contenant des données sensibles.
• Vérifier l'expiration exp et l'audience aud.
• Ne pas confondre décodage et vérification de signature.
• Utiliser des clés fortes pour les tokens signés.

Erreurs fréquentes

Croire que le payload est chiffré

Un JWT signé est encodé, pas chiffré. Son contenu peut être lu par toute personne qui possède le token.

Ignorer exp

Un token expiré peut être lisible mais ne doit plus être accepté.

Confondre decode et verify

Décoder affiche le contenu ; vérifier prouve que la signature correspond à une clé.

Termes et recherches liés