JWT Decoder
Un JWT au format compact compte trois parties encodées en Base64url et séparées par des points : l'en-tête (algorithme, type, identifiant de clé), la charge utile (les revendications, ou claims) et la signature. L'outil décode les deux premières, convertit les dates exp, nbf et iat en heure lisible et signale les défauts qui se voient sans la clé : algorithme none, signature vide, jeton expiré ou pas encore valide, absence d'expiration, URL de clés dans l'en-tête, champ sensible lisible en clair. Le décodage a lieu dans votre navigateur ou dans l'application : le jeton, qui donne souvent accès à un compte, ne transite pas par Plovernet.
0 EUR
gratuit avec un compte
6
fonctionnalités incluses
24/7
disponibilité en ligne
- En-tête et charge utile décodés et copiables
- Dates exp, nbf et iat en heure UTC et en délai relatif
- Alertes alg none, signature vide, jeton expiré ou sans expiration
- Repérage des en-têtes jku et x5u et des champs sensibles en clair
- Préfixe « Bearer » accepté tel quel
- Export JSON du résultat, aucun envoi au serveur
- Une alerte rouge signale un défaut exploitable : jeton non signé (alg none), signature absente ou jeton expiré.
- Une alerte orange signale une pratique risquée : pas de date exp, URL de clés jku ou x5u, mot de passe ou secret lisible dans la charge utile.
- Les dates sont affichées en UTC avec un délai relatif à l'heure de votre appareil ; une tolérance de 60 secondes est appliquée à nbf et iat.
- La charge utile n'est qu'encodée : tout ce qui y figure est lisible par quiconque détient le jeton.
- La signature n'est pas vérifiée : sans la clé publique ou le secret, un jeton décodé n'est pas un jeton authentique.
- Les jetons chiffrés (JWE, cinq parties) ne sont pas lisibles sans la clé de déchiffrement.
- L'outil ne contrôle ni l'audience (aud) ni l'émetteur (iss) attendus par votre application.
Outil gratuit
Disponible gratuitement avec un compte
Questions fréquentes
Un jeton dont l'en-tête annonce alg « none » ne porte aucune signature. Si le serveur l'accepte, n'importe qui peut modifier la charge utile, par exemple passer « admin » à vrai, et le jeton reste valide. La RFC 8725 demande aux serveurs de fixer la liste des algorithmes acceptés au lieu de lire celui du jeton.
Oui pour l'en-tête et la charge utile, qui ne sont qu'encodés en Base64url. La clé ne sert qu'à vérifier la signature, c'est-à-dire à prouver que le contenu n'a pas été modifié. C'est pourquoi un JWT ne doit jamais contenir de mot de passe ni de donnée confidentielle.
Il reste valable tant que la clé de signature ne change pas. Un jeton volé l'est alors pour toujours, sauf liste de révocation côté serveur. Une durée courte (quelques minutes pour un jeton d'accès) limite l'impact d'une fuite.
Non. Le décodage est fait par le code de la page ou de l'application, sur votre appareil. Aucun appel réseau n'est émis avec le jeton.
Outils complémentaires
Complétez votre analyse avec ces outils connexes.
Base64 Encoder/Decoder
SécuritéEncodez et décodez du texte en Base64 instantanément : support UTF-8 complet, détection automatique du mode, inversion entrée/sortie et copie en un clic.
Encoder / Decoder
SécuritéEncodez et décodez un texte en encodage URL, entités HTML, hexadécimal UTF-8, Base32, ROT13 ou échappements Unicode, directement dans le navigateur.
Hash Generator
SécuritéCalculez les empreintes MD5, SHA-1, SHA-256 et SHA-512 d'un texte, comparez-les à un hash connu ou identifiez le type d'une empreinte (bcrypt, Argon2…).
Timestamp Converter
SécuritéConvertissez un temps Unix (secondes, millisecondes, microsecondes, nanosecondes), une date ISO 8601 ou RFC 5322, et lisez l'heure dans plusieurs fuseaux.