Comment décoder un JWT
- Collez le jeton (le préfixe
Beareréventuel est supprimé automatiquement). - Consultez l'en-tête et la charge utile décodés sous forme de JSON mis en forme, puis vérifiez les dates d'émission et d'expiration dans le tableau des claims.
- Si vous le souhaitez, ouvrez Vérifier la signature et saisissez le secret HMAC ou la clé publique au format PEM.
Comment est construit un JWT
Un JSON Web Token se compose de trois parties encodées en Base64URL et séparées par des points : header.payload.signature. L'en-tête indique l'algorithme de signature (par exemple HS256 ou RS256), la charge utile contient les claims, et la signature prouve que les deux premières parties n'ont pas été modifiées.
Les claims standard
iss– l'émetteur du jetonsub– l'utilisateur ou le sujetaud– le public visé (audience)exp,nbf,iat– dates d'expiration, de début de validité et d'émission, sous forme de timestamps Unixjti– un identifiant unique du jeton
Questions fréquentes
Puis-je coller mon jeton ici en toute sécurité ?
Le jeton est décodé dans votre navigateur et n'est jamais envoyé nulle part. Traitez toutefois les jetons en cours de validité comme des mots de passe et évitez de les partager.
Tout le monde peut-il lire la charge utile d'un JWT ?
Oui. Un JWT signé est simplement encodé en Base64URL, pas chiffré : n'y placez donc jamais de secrets. Seuls les jetons chiffrés (JWE) masquent leur contenu.
Pourquoi la signature n'est-elle pas vérifiée automatiquement ?
La vérification nécessite le secret ou la clé publique de l'émetteur. Saisissez-le dans « Vérifier la signature » : les algorithmes HS, RS, PS et ES sont pris en charge.