Aller au contenu
OneKitly

Décodeur JWT

Décode un JWT, lis ses champs et ses dates, et vérifie sa signature HMAC.

Ce décodeur JWT gratuit lit un JSON Web Token et affiche son en-tête et sa charge utile en JSON clair et lisible, instantanément. Le moyen le plus rapide d'inspecter les claims d'un token, vérifier son expiration ou déboguer une authentification.

Comment l'utiliser

  1. Colle ton JWT (la chaîne en-tête.charge.signature).
  2. Lis l'en-tête et la charge utile décodés.
  3. Vérifie les claims comme exp, iat et le sujet.

Questions fréquentes

Qu'est-ce qu'un JWT ?

Un JSON Web Token est un jeton compact et signé, utilisé pour l'authentification. Il comporte trois parties — en-tête, charge utile et signature — séparées par des points et encodées en Base64URL.

Décoder un JWT équivaut-il à le vérifier ?

Non. Décoder révèle seulement le contenu — n'importe qui peut le faire. Vérifier contrôle la signature avec un secret ou une clé pour prouver que le token est authentique et non altéré. Cet outil décode ; il ne vérifie pas.

Est-il sûr de coller mon token ici ?

Traite tout token comme un secret. Un token de production actif donne accès à ce pour quoi il a été émis : décode ici des tokens expirés ou de test, et garde les tokens actifs dans un outil que tu maîtrises de bout en bout.

Quelles sont les trois parties d'un JWT ?

L'en-tête (algorithme et type), la charge utile (les claims — qui, quoi, quand), et la signature qui permet à un serveur de vérifier que les deux premières n'ont pas été modifiées.

Qu'est-ce que Décodeur JWT ?

Décode un JWT, lis ses champs et ses dates, et vérifie sa signature HMAC.

Dans quels cas s'en sert-on concrètement ?

Lire une charge utile qu'on t'a transmise, embarquer un petit fichier dans une configuration, et comprendre pourquoi une chaîne de requête casse une fois arrivée au serveur.

Quelle est l'erreur la plus fréquente ?

Prendre le Base64 pour une protection. C'est un encodage, pas un chiffrement : n'importe qui le décode instantanément, et un jeton collé dans un ticket public est un jeton divulgué.

En quoi Décodeur JWT diffère-t-il de Encodeur / décodeur Base64 ?

Ils se ressemblent mais répondent à des questions différentes : Encodeur / décodeur Base64 est celui à ouvrir lorsqu'il s'agit de encode et décode du Base64 en ligne — gratuit. Choisis celui qui correspond à ton point de départ — les deux sont gratuits.

Existe-t-il un outil pour l'étape suivante ?

Encodeur / décodeur d'entités HTML est le plus proche après celui-ci : Convertis du texte en entités HTML et inversement, en échappant <, >, &, guillemets et éventuellement tous les caractères non-ASCII.

Quels autres outils vaut-il la peine d'ouvrir à côté ?

Encodeur / décodeur d'URL et Validateur / décodeur d'UUID — ils reviennent assez souvent dans la même tâche pour mériter un second onglet.

Pour aller plus loin

Tous les guides
ExplicationQu'est-ce qu'un JWT (JSON Web Token) ?Un JWT est un jeton compact et signé qui transporte l'identité entre services. Voici ses trois parties, son usage pour l'authentification et ses limites de sécurité.ExplicationCe qu'il y a dans un JWT — et ce qu'il ne protège pasUn JWT est signé, pas chiffré. Quiconque détient le jeton peut décoder la charge utile et lire chaque revendication. Voici un vrai jeton, décodé sans aucune clé, plus les trois attaques que la signature est censée arrêter et le seul problème qu'elle ne peut pas résoudre.ExplicationÉchapper une chaîne pour JSON : trois caractères sont obligatoires, et un seul est un piègeLa RFC 8259 n'impose l'échappement que de trois choses dans une chaîne JSON. Tout le reste est facultatif. Celle qui casse réellement les chaînes de traitement est le demi-surrogate isolé : légal dans un texte JSON, impossible en UTF-8, et remplacé en silence dès que tes données sont écrites.GuideL'encodage d'URL expliqué : le pourcentage et là où ça coinceL'encodage par pourcentage se décide composant par composant, et c'est de là que vient toute la confusion. Une barre oblique est légale dans un chemin et doit être échappée dans une valeur de requête ; une espace est %20 dans un chemin et peut être + dans un corps de formulaire. Voici les ensembles exacts de la RFC 3986, les trois fonctions JavaScript qui divergent, et les pièges.ExplicationQu'est-ce que l'encodage Base64 ?Le Base64 transforme des données binaires en texte sûr. Voici ce qu'il fait, pourquoi il existe, pourquoi ce n'est pas du chiffrement, et le surcoût de taille qu'il ajoute.GuideConstruire une URL avec paramètres qui survit à un copier-collerTrois encodages, une différence visible : %20 ou +. Le mode formulaire du générateur reproduit URLSearchParams octet pour octet sur dix-sept valeurs — mais donne-lui une URL de base avec un fragment et tous les paramètres atterrissent dans le hash, invisibles du serveur.
Décodeur JWT — OneKitly