Décodeur JWT

Les jetons Web JSON (JWT) sont des identifiants compacts et autonomes utilisés par les applications web modernes pour authentifier les utilisateurs et autoriser les requêtes API. Un JWT ressemble à une longue chaîne aléatoire, mais il contient en réalité trois parties encodées en Base64 : un en-tête décrivant le type de jeton, une charge utile contenant des informations utilisateur ou des revendications, et une signature prouvant que le jeton n'a pas été altéré. Cet outil décode les JWT pour révéler les informations qu'ils contiennent, ce qui le rend essentiel pour déboguer les problèmes d'authentification et comprendre le contenu des jetons.

Structure d'un JWT

Un JWT se compose de trois sections encodées en Base64 séparées par des points : header.payload.signature. L'en-tête spécifie généralement l'algorithme de hachage (HS256, RS256, etc.). La charge utile contient des « revendications » — les données que l'émetteur affirme, telles que l'ID utilisateur, l'adresse e-mail, les rôles ou le délai d'expiration. La signature prouve qu'un serveur a créé le jeton et qu'il n'a pas été modifié. Cet outil divise automatiquement le JWT et décode chaque partie en JSON lisible.

Déboguer l'authentification

Lorsque votre application ne parvient pas à authentifier un utilisateur, vous devez souvent inspecter le JWT pour voir ce qui s'est mal passé. Le jeton a-t-il expiré ? La charge utile contient-elle les données utilisateur attendues ? Ce décodeur répond à ces questions instantanément. Il affiche l'horodatage d'émission (iat), l'horodatage d'expiration (exp), et calcule le temps restant avant l'expiration du jeton.

Remarque importante sur la sécurité

Cet outil décode la structure du JWT mais ne vérifie pas la signature. N'importe quel client peut décoder les parties visibles d'un JWT — la sécurité provient de la signature, que seul le serveur peut vérifier en utilisant une clé secrète ou une clé publique. Ne faites jamais confiance aux revendications JWT côté client sans vérification côté serveur. Utilisez cet outil uniquement pour le débogage et l'inspection, pas pour les décisions de sécurité.

Revendications courantes

Les charges utiles JWT typiques incluent sub (sujet/ID utilisateur), iat (émis à), exp (expiration), aud (audience), et des revendications personnalisées définies par votre application. L'outil affiche toutes les revendications en JSON formaté pour une lecture facile.