JWT Decoder - JSON Web Tokens

Un JSON Web Token est un justificatif d'identité. Cette application le décode, explique ce qu'il contient et vérifie sa signature, entièrement sur votre appareil et sans accès réseau.

DÉCODE TOUT CE QUI RESSEMBLE À UN TOKEN

Collez un token ou envoyez-le depuis une autre application : sélectionnez-le dans un journal, une commande curl, un en-tête Authorization ou une réponse JSON, puis Partager ou « Décoder le JWT » dans le menu de texte. Le token est extrait du texte qui l'entoure. Les tokens signés (JWS) et chiffrés (JWE) sont reconnus, et d'un token endommagé vous voyez tout ce qui reste lisible.

LISEZ LES CLAIMS, PAS LE BASE64

Chaque claim enregistré est nommé et expliqué. Les claims de date s'affichent avec l'écart — « expiré il y a 4 heures », « dans 12 minutes » — en heure locale, UTC ou secondes. Environ quatre-vingt-dix noms de claims sont reconnus, dont OpenID Connect et ceux de Microsoft Entra, Firebase, AWS Cognito, Auth0 et Keycloak.

VÉRIFIEZ LA SIGNATURE

• HS256, HS384, HS512 avec un secret partagé, en texte, base64, base64url ou hex, selon votre choix

• RS256/384/512, PS256/384/512, ES256/384/512 et ES256K avec une clé publique

• Clés en PEM, certificat X.509, JWK ou jwks.json complet : le key id du token choisit la bonne entrée

Le verdict n'est jamais un simple oui ou non : « ne correspond pas », « mauvais type de clé », « mauvaise courbe » et « vérification impossible ici » sont des réponses différentes.

CE QUI NE VA PAS

Trente-cinq constats expliqués en une phrase : « alg » à none, clé intégrée dans l'en-tête, « nbf » après « exp », « exp » en millisecondes, claims en double, absence d'audience… et le plus important : le payload est signé, pas chiffré. Toute personne qui détient le token peut en lire chaque claim.

CONÇU POUR CE QUI N'EST PAS DE CONFIANCE

Aucun token, clé ou secret n'est transmis, et clés et secrets ne sont jamais enregistrés. L'historique affiche des tokens masqués, est limité, effaçable et exclu de la sauvegarde cloud.

ÉGALEMENT

• Thème clair et sombre selon le système

• Dix langues

• Coloration syntaxique et nombres exacts tels qu'écrits

• Tolérance de décalage d'horloge réglable

• Ouverture des tokens imbriqués