Décodeur de JWT
Décode l’en-tête et la charge utile d’un JWT et inspecte exp/iat (sans vérification).
Les tokens sont décodés localement dans votre navigateur et rien n'est envoyé, mais évitez de coller de vrais tokens ou secrets de production dans un outil en ligne.
Besoin de créer et signer un token ? Essayez le JWT Signer.
À propos de Décodeur de JWT
Ce décodeur JWT découpe n'importe quel JSON Web Token en ses segments d'en-tête, de charge utile et de signature, puis les affiche sous forme de JSON propre et lisible. Collez un token (avec ou sans le préfixe « Bearer ») et il décode instantanément les segments base64url, puis met en évidence les claims temporels standards — exp, iat et nbf — sous forme de dates UTC lisibles, avec des badges indiquant si le token est expiré, actif ou pas encore valide. Il est conçu pour les développeurs backend, les ingénieurs API et les testeurs QA qui ont besoin de déboguer des en-têtes d'authentification, d'inspecter le contenu d'un token ou de confirmer une expiration sans recourir à une bibliothèque côté serveur. Utilisez-le comme analyseur jwt rapide ou décodeur de token en ligne lors d'un débogage local. Le décodage se fait localement dans votre navigateur, donc le token que vous collez ne quitte jamais votre appareil et rien n'est envoyé.
Fonctionnalités
- Décode l'en-tête et la charge utile du JWT en JSON formaté et coloré syntaxiquement
- Analyse les claims exp, iat et nbf et les affiche sous forme d'horodatages UTC lisibles
- Signale les tokens comme Expiré, Valide, Actif ou Pas encore valide avec des badges colorés
- Accepte les tokens avec ou sans le préfixe Bearer en tête
- Affiche séparément le segment de signature brut pour inspection
- Avertit clairement que le décodage ne vérifie jamais la signature ni l'authenticité d'un token
- Boutons de copie pour le JSON de l'en-tête et de la charge utile décodés, plus une commande Effacer
Comment utiliser Décodeur de JWT
- Collez votre JWT dans le champ de saisie du JSON Web Token.
- Lisez l'en-tête et la charge utile décodés affichés en JSON formaté.
- Consultez la section Claims pour les dates d'émission, de non-validité avant et d'expiration ainsi que les badges de statut.
- Utilisez les boutons Copier pour récupérer le JSON de l'en-tête ou de la charge utile, ou Effacer pour recommencer.
Exemple
Entrée
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0IiwibmFtZSI6IkphbmUiLCJpYXQiOjE1MTYyMzkwMjJ9.signature
Sortie
En-tête :
{
"alg": "HS256",
"typ": "JWT"
}
Charge utile :
{
"sub": "1234",
"name": "Jane",
"iat": 1516239022
}
Le décodeur découpe le token et affiche l'en-tête et la charge utile en JSON ; iat apparaît comme une date lisible.
Erreurs courantes et dépannage
- Une erreur indique que le token doit comporter au moins deux segments séparés par des points. — Un JWT doit être de la forme header.payload.signature. Vérifiez que vous avez copié le token entier et que les points n'ont pas été supprimés.
- Le décodeur signale qu'un segment n'est pas un base64url valide ou n'est pas un JSON valide. — Assurez-vous qu'aucun caractère n'a été perdu ou encodé en URL durant le transfert, et que vous avez collé le token lui-même plutôt qu'un objet ou des guillemets l'entourant.
- Vous attendiez une vérification mais l'outil indique que la signature n'est pas contrôlée. — Il s'agit d'un décodeur, pas d'un validateur. Il lit uniquement le contenu du token ; utilisez une bibliothèque de signature ou de vérification pour confirmer l'authenticité.
- Un token apparaît comme Expiré alors qu'il semble récent. — Le claim exp est exprimé en secondes UTC et comparé à l'heure actuelle. Comparez la date UTC affichée à votre horloge et fuseau horaire locaux.
Foire aux questions
- Qu'est-ce qu'un décodeur JWT et qu'affiche-t-il ?
- Un décodeur JWT lit un JSON Web Token et en révèle le contenu. Ce décodeur affiche en JSON formaté l'en-tête et la charge utile complets et met en évidence les claims temporels standards exp, iat et nbf sous forme de dates UTC lisibles avec des badges de statut.
- Comment décoder un JWT avec le préfixe Bearer ?
- Collez simplement la valeur complète de l'en-tête Authorization. Le décodeur JWT supprime automatiquement le préfixe « Bearer » en tête avant le décodage, vous n'avez donc pas besoin de le retirer au préalable.
- Le décodeur JWT vérifie-t-il la signature du token ?
- Non. Il décode et affiche uniquement l'en-tête, la charge utile et les claims. Il ne vérifie jamais la signature, le décodage seul ne prouve donc jamais qu'un token est authentique.
- Pourquoi mon token apparaît-il comme Pas encore valide dans le décodeur JWT ?
- Il possède un claim nbf (not before) dont l'heure est encore dans le futur, le token n'est donc pas encore actif. Le badge se met à jour une fois cette heure passée.
- Mon token est-il envoyé quelque part lorsque j'utilise le décodeur JWT ?
- Non. Le décodeur JWT s'exécute entièrement dans votre navigateur et le token que vous collez ne quitte jamais votre appareil, et rien n'est envoyé à un serveur.
Outils associés
Tous les outils ArrayKit