Décodeur JWT
Décodez le header et le payload d'un JWT en JSON lisible, entièrement dans votre navigateur - exp, iat et nbf s'affichent en dates réelles au lieu de nombres epoch, et la signature est affichée telle quelle, jamais vérifiée.
Ajoutez un fichier et lancez l’outil.
Votre fichier est prêt.
Essayez un autre fichier, ou réessayez.
Réglages
Ajustez les réglages ci-dessous. Le résultat se met à jour au fur et à mesure.
Fonctionne entièrement dans votre navigateur. Aucun fichier n'est envoyé.
Fonctionne entièrement dans votre navigateur. Rien n'est jamais envoyé à un serveur.
Comment ça marche
Collez votre JWT.
Lisez le header, le payload et la date d'expiration.
Copiez la partie de votre choix.
Questions fréquentes
Non. Chaque JWT est décodé entièrement dans votre navigateur - rien n'est envoyé nulle part.
Non, et il ne le fera jamais. Vérifier une signature nécessite le secret ou la clé publique ayant émis le token, et demander cela à un visiteur sur une page publique est exactement l'habitude que cet outil évite. La signature est affichée telle quelle, jamais vérifiée.
Non. Le payload d'un JWT est simplement du Base64 lisible, pas du chiffrement. Quiconque détient le token peut déjà le lire sans aucun outil - c'est exactement pour ça que cette page existe : rendre ce fait évident, pas le cacher.
Aussi sûr que de le décoder à la main, pas plus - rien n'est envoyé ni stocké. Mais un token décodé reste une donnée sensible : ne le partagez pas, et ne collez pas un vrai token de production dans un outil auquel vous ne faites pas confiance, celui-ci compris.
Guides
Un aperçu plus précis de problèmes concrets que résout cet outil.
Why APIs Traded Server-Side Sessions for a Signed Token
A server-side session is simple and instantly revocable, but it needs a lookup every single server can reach on every request. A JWT trades that lookup for a signature - and gives up instant revocation to get it.
Lire le guideHow to Check Whether a JWT Has Expired, Without Doing the Epoch Math Yourself
A JWT's exp claim is a raw Unix timestamp - meaningless at a glance. Paste a token and the expiry, not-before, and issued-at claims come back as real dates with a plain valid/expired/not-yet-valid label, no manual conversion required.
Lire le guideDebugging a 401 by Reading What Your JWT's Claims Actually Say
A request that worked five minutes ago now returns 401, and the token looks fine at a glance. The fastest way to find out what changed is to decode it and read the claims in order, not guess.
Lire le guide
Commentaires