Comment décoder un JWT ?

Collez le jeton dans le champ de saisie. L'en-tête et le payload sont décodés et mis en forme pendant que vous tapez, et les claims de date sont affichés sous forme de dates lisibles.

Tout le monde peut-il lire le contenu de mon JWT ?

Oui. L'en-tête et le payload sont seulement encodés, pas chiffrés : quiconque possède le jeton peut les lire. Ne mettez jamais de mots de passe ni d'autres secrets dans le payload d'un JWT.

Comment vérifier la signature d'un JWT ?

Pour les jetons HS256, HS384 ou HS512, saisissez le secret dans la section Signature et indiquez s'il s'agit de texte brut ou de Base64. Le décodeur signe de nouveau l'en-tête et le payload avec ce secret et vous dit si le résultat correspond à la signature du jeton.

Pourquoi mon jeton indique-t-il « Signature invalide » ?

Soit le secret est faux, soit il est dans le mauvais format. Un secret que votre bibliothèque décode depuis Base64 doit être saisi avec Base64 sélectionné, sinon les octets ne correspondront pas. Un jeton modifié après la signature échouera aussi.

Mon jeton est-il envoyé à un serveur ?

Non. Le décodage et la vérification s'exécutent tous deux dans votre navigateur, vous pouvez donc coller des jetons de production sans qu'ils quittent votre appareil.

Décodeur JWT

Lisez l'en-tête et les claims d'un jeton, vérifiez son expiration et sa signature. Tout s'exécute localement — rien n'est téléversé.

Entrée: JWT
Sortie: Header · payload · signature check

Jeton encodé

HS256

Signature

Besoin d'un secret ? Générez-en un

En-tête

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

{
  "sub": "1234567890",
  "name": "Jane Doe",
  "iat": 1767225600,
  "exp": 1893456000
}

Lire un jeton sans lui faire confiance

Un JWT est composé de trois parties encodées en Base64URL, jointes par des points : un en-tête qui nomme l'algorithme, un payload de claims et une signature portant sur les deux. Tout le monde peut lire les deux premières, c'est pourquoi un jeton ne doit jamais contenir quoi que ce soit de secret, et seule la signature prouve que le jeton vient de quelqu'un qui connaît la clé.

Ce que montre le décodeur

En-tête. L'algorithme de signature (alg) et le type de jeton, et parfois un identifiant de clé (kid) qui indique quelle clé l'a signé.
Payload. Les claims : la personne concernée par le jeton (sub), son émetteur (iss), son destinataire (aud) et tout ce que votre application ajoute.
Dates. iat, nbf et exp sont des secondes depuis 1970. Le décodeur les affiche sous forme de dates dans votre fuseau horaire et indique si le jeton a expiré ou n'est pas encore valide.
Signature. Pour HS256, HS384 et HS512, saisissez le secret et le décodeur recalcule la signature pour vous dire si elle correspond. Les jetons signés avec des algorithmes RS, ES ou PS se décodent comme d'habitude, mais les vérifier demande la clé publique de l'émetteur.

Questions fréquentes

Comment décoder un JWT ?: Collez le jeton dans le champ de saisie. L'en-tête et le payload sont décodés et mis en forme pendant que vous tapez, et les claims de date sont affichés sous forme de dates lisibles.
Tout le monde peut-il lire le contenu de mon JWT ?: Oui. L'en-tête et le payload sont seulement encodés, pas chiffrés : quiconque possède le jeton peut les lire. Ne mettez jamais de mots de passe ni d'autres secrets dans le payload d'un JWT.
Comment vérifier la signature d'un JWT ?: Pour les jetons HS256, HS384 ou HS512, saisissez le secret dans la section Signature et indiquez s'il s'agit de texte brut ou de Base64. Le décodeur signe de nouveau l'en-tête et le payload avec ce secret et vous dit si le résultat correspond à la signature du jeton.
Pourquoi mon jeton indique-t-il « Signature invalide » ?: Soit le secret est faux, soit il est dans le mauvais format. Un secret que votre bibliothèque décode depuis Base64 doit être saisi avec Base64 sélectionné, sinon les octets ne correspondront pas. Un jeton modifié après la signature échouera aussi.
Mon jeton est-il envoyé à un serveur ?: Non. Le décodage et la vérification s'exécutent tous deux dans votre navigateur, vous pouvez donc coller des jetons de production sans qu'ils quittent votre appareil.

Les autres outils

Convertisseur de donnéesFaites passer du texte structuré entre JSON, YAML, TOML, CSV et Markdown.Générateur de secret JWTClés secrètes HS256, HS384 et HS512 aléatoires en hex ou Base64, prêtes pour votre .env.Générateur de mots de passeDes mots de passe forts et aléatoires, avec la robustesse affichée en bits.Générateur de données de testDe faux utilisateurs, produits et commandes réalistes avec vos propres colonnes, en JSON, CSV ou SQL.Convertisseur d'imagesRéencodez, redimensionnez et vectorisez vos images avec une comparaison avant/après en direct.Compresser et archiverAllégez n'importe quel fichier avec gzip ou Brotli, ou regroupez un dossier en ZIP.DOCX en PDFTransformez un document Word en PDF au texte réel et sélectionnable.PDF en DOCXRécupérez un document Word modifiable depuis la couche texte d'un PDF.Suppression d'Arrière-planDétourage automatique par IA et outils manuels de précision.Éditeur PDFSignez des documents, modifiez du texte, insérez des images et masquez des PDF dans votre navigateur.Convertisseur de casseTransformez du texte en kebab-case, camelCase, snake_case, Title Case et dix autres casses.Générateur de Lorem IpsumDu faux texte par paragraphes, phrases ou mots, en texte brut ou en HTML.Image en ASCIITransformez une photo en ASCII art, en noir et blanc ou en couleur.