Décodeur JWT : Décoder des tokens JWT en ligne | Gratuit

A Modifier le payload casse la signature. La signature est un hachage cryptographique combinant l'en-tête et le payload encodés avec une clé secrète. Changer ne serait-ce qu'un seul caractère dans le payload rend la signature invalide. C'est le principe même des JWT — détecter toute falsification. Imaginez une enveloppe scellée avec un cachet de cire. Notre outil vous montre le contenu, mais toute altération invalide complètement le jeton.

A Le champ 'iat' (issued at) est un timestamp Unix en secondes. Si l'horloge de votre système dérive de plus de quelques minutes, vous verrez une date future. La plupart des serveurs tolèrent un écart de 30 à 60 secondes. Commencez par vérifier la synchronisation horaire de votre appareil — c'est la cause la plus fréquente. Notre outil convertit ce timestamp en date lisible pour repérer les incohérences immédiatement.

A Il gère correctement les JWT standards. Mais un token avec des points manquants, un remplissage Base64 invalide ou des caractères parasites déclenche une erreur de décodage claire – vous verrez exactement où ça coince. Par exemple, si le payload contient un '=' supplémentaire, l'outil met en évidence l'incohérence. Idéal pour déboguer des tokens défectueux d'APIs tierces. Commencez par un token bien encodé pour éviter les fausses alertes.

A Oui, totalement. Un JWT agit comme une clé numérique — quiconque le possède peut usurper l'identité de l'utilisateur jusqu'à son expiration. Ne collez jamais des tokens de production sur des sites aléatoires. Notre outil fonctionne entièrement côté client, votre token reste sur votre machine. Utilisez HTTPS, fixez des délais d'expiration courts (15 minutes ou moins) et révoquez les tokens côté serveur. Un JWT fuité avec 24h de validité est un vrai danger.

A La revendication 'nbf' (not before) signifie que le token n'est pas valide avant cet horodatage. Les serveurs le rejettent s'il est utilisé trop tôt, souvent à cause d'un décalage d'horloge entre systèmes. Vérifiez que l'horloge de l'émetteur est synchronisée via NTP. Notre outil convertit ce timestamp Unix dans votre fuseau horaire local. Si 'nbf' est 30 secondes en avance, patientez avant de tester.

A Collez votre token dans la zone de texte, puis cliquez sur 'Décoder' — les résultats s'affichent dans le panneau de droite, jamais dans la console du navigateur. Aucune requête réseau n'est déclenchée non plus, donc rien n'apparaît dans l'onglet Réseau des DevTools. Un piège : si vous copiez le token depuis la barre d'adresse, assurez-vous de prendre la chaîne complète, pas une version tronquée. Certaines URLs ont des paramètres de requête qui peuvent couper la signature. Je viderais aussi votre presse-papiers ensuite si vous êtes sur une machine partagée.

A Un bandeau d'avertissement clair s'affiche en haut du panneau de résultats, et la section signature montre un indicateur rouge de non-correspondance. L'en-tête et le payload se décodent quand même, mais vous ne devez faire confiance à aucune de ces revendications. Par exemple, si vous testez une réponse d'API et obtenez ce résultat, le token a probablement été modifié en transit ou signé avec une clé secrète différente. Notre outil ne vérifie pas cryptographiquement la signature, donc il ne devine pas pourquoi elle diffère. Vérifiez votre clé de signature et la chaîne exacte du token — un espace parasite ou un caractère manquant est la cause habituelle.

A Parce qu'ils ne le sont probablement pas — un espace en fin de chaîne ou un padding Base64URL différent suffit. Un seul caractère modifié dans la signature change tout le résultat décodé. Cela dit, l'en-tête et le payload se décodent indépendamment : s'ils correspondent, les claims seront les mêmes. Mais pour deux connexions distinctes, les champs 'iat' et 'jti' varieront presque à coup sûr. Notre outil affiche le nombre de caractères sous chaque section décodée, pratique pour repérer l'écart. Je vérifierais les chaînes brutes avant de remettre en cause le serveur.

A Repérez le champ 'exp' dans la section payload juste après avoir collé votre jeton. Cette valeur numérique Unix indique la seconde exacte où la session expire, par exemple 1715000000. Notre outil convertit instantanément ce chiffre en heure locale pour vous éviter tout calcul mental. Si cette échéance est dépassée, vos appels API renverront une erreur 401. Vérifiez toujours ce paramètre en cas de déconnexion inopinée.

A Vos jetons ne quittent jamais votre navigateur une fois collés ici. Le décodeur fonctionne entièrement côté client avec JavaScript, ce qui signifie qu'aucune donnée n'est envoyée vers un serveur distant. Vérifiez cela en observant l'onglet réseau de vos outils de développement lors du décodage. Les développeurs backend testant des jetons de production sensibles peuvent les utiliser en toute sécurité.