Générateur JWT en ligne gratuit

Le JWT Generator est un outil en ligne gratuit qui crée et signe des JSON Web Tokens à des fins de test d'authentification et de développement.

Oui, il est entièrement gratuit et aucune inscription n'est requise. Toute la génération de tokens se fait côté client dans votre navigateur, et votre clé secrète n'est jamais transmise.

Le JWT Generator prend en charge HS256, HS384, HS512 et d'autres algorithmes de signature courants utilisés dans l'authentification JWT.

Absolument. Le JWT Generator traite tout côté client dans votre navigateur. Aucune donnée n'est téléversée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le JWT Generator est entièrement responsive et fonctionne sur les smartphones et les tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans téléchargement d'application.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le JWT Generator dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni barrière d'inscription ni restriction d'utilisation.

Saisissez simplement votre entrée dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil la traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le JWT Generator fonctionne dans tous les navigateurs modernes, y compris Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Les deux produisent une signature basée sur SHA, mais le modèle de clé est complètement différent. HS256 (ainsi que HS384/HS512) repose sur HMAC : un seul secret partagé sert à signer le token et à le vérifier, donc toute partie capable de vérifier la signature pourrait aussi en forger une. RS256 (ainsi que RS384/RS512) repose sur RSA et est asymétrique : une clé privée signe le token tandis qu'une clé publique distincte le vérifie, ce qui permet de distribuer la clé publique à de nombreux services sans leur donner la capacité de créer des tokens. En règle générale, utilisez HMAC lorsqu'un seul backend de confiance émet et valide les tokens, et utilisez RSA lorsque les vérificateurs ne doivent pas détenir la clé de signature, par exemple des tiers ou une API publique. Ce générateur signe avec les six algorithmes via l'API Web Crypto du navigateur, et peut produire une paire de clés RSA de 2048 bits pour tester RS256 de bout en bout.

Oui. Un JWT est signé, pas chiffré, donc quiconque possède le token peut décoder et lire son payload. Le header et le payload sont seulement encodés en Base64URL — pas chiffrés — et n'importe quel décodeur, y compris celui-ci, les décode instantanément sans clé. La signature garantit uniquement que le token n'a pas été modifié depuis son émission ; elle ne masque pas le contenu. Cela signifie que vous ne devez jamais placer de mots de passe, de secrets d'API ou de données personnelles sensibles dans les claims d'un JWT. Considérez le payload comme une information publique qui a simplement la propriété d'être inviolable sans détection. Si vous avez réellement besoin de masquer le contenu, il vous faut un token chiffré (JWE), qui est un mécanisme distinct. Collez n'importe quel token dans le décodeur de cet outil pour voir exactement ce qu'un destinataire pourrait lire et confirmer qu'aucune donnée sensible n'est exposée.

Ce sont des claims temporelles enregistrées, stockées sous forme d'horodatages Unix en secondes. La claim iat (issued-at) enregistre le moment de création du token. La claim exp (expiration) définit le moment où il cesse d'être valide — les vérificateurs rejettent le token dès que l'heure actuelle dépasse exp. La claim nbf (not-before) fait l'inverse : le token est invalide tant que l'heure actuelle n'a pas atteint nbf, ce qui est utile pour des tokens qui doivent s'activer plus tard. Garder des fenêtres exp courtes limite les dégâts en cas de fuite d'un token, puisque les refresh tokens prennent en charge les sessions plus longues. Ce générateur remplit automatiquement iat et exp grâce à des préréglages en un clic de 15m, 1h, 24h, 7j, 30j et 1an, et permet d'activer une claim nbf. Lorsque vous décodez un token ici, l'outil indique aussi s'il a expiré et le temps restant (ou écoulé) jusqu'à exp.

La vérification recalcule la signature à partir du header et du payload du token en utilisant la clé appropriée, puis vérifie qu'elle correspond à la signature jointe au token. Pour les algorithmes HMAC (HS256/384/512), vous fournissez le même secret partagé que celui utilisé pour signer ; pour les algorithmes RSA (RS256/384/512), vous fournissez la clé publique correspondante au format PEM. Si la valeur recalculée correspond, le token est authentique et n'a pas été altéré ; sinon, il a été modifié ou signé avec une autre clé. La vérification seule ne suffit toutefois pas : le code en production doit aussi contrôler exp, nbf, iss et aud avant de faire confiance à un token. Collez un token dans le décodeur de cet outil, fournissez le secret ou la clé publique, et il vérifie la signature de façon cryptographique dans votre navigateur via Web Crypto, de sorte que le résultat reflète une validation réelle et non une supposition.

Un token peut être parfaitement bien formé et pourtant échouer à la validation pour des raisons sans rapport avec ses claims. La cause la plus fréquente est une incohérence de secret ou de clé : même un espace de fin, un mauvais encodage de caractères, ou un secret Base64 collé comme texte brut modifie la signature et fait échouer la vérification. Une autre cause est l'algorithme : vérifier un token RS256 avec un secret HMAC, ou l'inverse, ne correspondra jamais. Les claims temporelles comptent aussi : un exp expiré ou un nbf dans le futur marque le token comme invalide même si la signature est correcte. Enfin, toute modification du header ou du payload après la signature casse la signature, puisqu'elle est calculée sur les deux. Utilisez cet outil pour décoder le token, vérifier l'algorithme indiqué dans le header, contrôler les horodatages exp et nbf, et revérifier avec le secret ou la clé publique exacte afin d'identifier lequel de ces cas est en cause.