Décodeur JWT Gratuit en Ligne

Le Décodeur JWT est un outil en ligne gratuit qui décode les JSON Web Tokens pour afficher les informations d'en-tête, de charge utile et de signature dans un format lisible.

Oui, il est entièrement gratuit et ne nécessite aucune inscription. Tout le décodage s'effectue côté client, dans votre navigateur, de sorte que vos tokens ne sont jamais envoyés à un serveur.

Le Décodeur JWT affiche l'algorithme, le type de token, la date d'expiration, l'émetteur, le sujet et toutes les revendications personnalisées stockées dans la charge utile du JWT.

Absolument. Le Décodeur JWT traite tout côté client, dans votre navigateur. Aucune donnée n'est envoyée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le Décodeur JWT est entièrement responsive et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le Décodeur JWT dans votre navigateur et commencez à l'utiliser immédiatement. Aucune barrière d'inscription ni restriction d'utilisation.

Saisissez simplement vos données dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil les traitera instantanément. Vous pouvez ensuite copier le résultat dans votre presse-papiers ou le télécharger.

Le Décodeur JWT fonctionne sur tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Lire un JWT est sans risque, car l'en-tête et la charge utile sont simplement encodés en Base64URL, et non chiffrés — quiconque possède le token peut les décoder, donc inspecter les revendications ne révèle rien qui devait rester secret. Le vrai risque concerne la destination du token : un token d'accès actif est un identifiant vivant, donc coller un tel token dans un service qui le transmet à un serveur pourrait exposer votre session. Cet outil évite entièrement ce problème en décodant tout localement dans votre navigateur ; le token n'est jamais téléversé, journalisé ni stocké à distance. Par précaution, ne décodez que les tokens que vous êtes autorisé à inspecter, traitez tout token actif comme un mot de passe que vous ne colleriez pas publiquement, et évitez de partager l'URL ou une capture d'écran de la charge utile décodée. Collez votre token ci-dessus pour voir ses revendications décodées instantanément, entièrement côté client, sans que rien ne quitte votre appareil.

Décoder et vérifier sont deux opérations distinctes. Décoder consiste simplement à décoder en Base64URL l'en-tête et la charge utile pour en lire les revendications — cela ne nécessite aucune clé et ne prouve rien sur l'authenticité du token. Vérifier signifie recalculer la signature avec le secret ou la clé publique de l'émetteur et confirmer qu'elle correspond, ce qui est le seul moyen de savoir que le token n'a pas été altéré ou forgé. Ce décodeur lit le token et affiche le segment de signature brut à titre de référence, mais il ne le vérifie pas de façon cryptographique ; considérez donc une charge utile décodée comme une information, et non comme une preuve. Pour vérifier réellement un token, vous avez besoin de la clé de signature, qui doit rester sur votre backend. L'onglet Snippets fournit du code prêt à l'emploi pour la vérification et la signature en Node.js, Python, Go, Java, PHP et Ruby, afin de valider correctement le token dans votre propre service.

L'expiration se trouve dans la revendication exp, un horodatage Unix (secondes depuis 1970) marquant le moment où le token cesse d'être valide. Deux revendications liées définissent la fenêtre de validité : iat indique quand le token a été émis, et nbf indique le moment le plus tôt à partir duquel il peut être utilisé. Ces chiffres bruts sont difficiles à lire, c'est pourquoi ce décodeur convertit exp, iat et nbf en dates lisibles et affiche un statut en direct indiquant si le token est actuellement valide, expiré ou pas encore actif. Cela rend évidents en quelques secondes les bugs du type « pourquoi ai-je une erreur 401 ? » — un exp expiré étant l'une des causes les plus courantes. Gardez à l'esprit que ces horodatages sont lisibles par tous et non vérifiés tant que vous n'avez pas contrôlé la signature, et qu'ils sont enregistrés en UTC, donc tenez compte de votre propre fuseau horaire en les lisant. Collez votre token pour voir ses heures d'émission, de début de validité et d'expiration décodées en dates claires, en un coup d'œil.

Un JWT comporte trois parties séparées par des points : header.payload.signature. L'en-tête décrit comment le token est signé — principalement l'alg (l'algorithme de signature, comme HS256 ou RS256) et le typ (type de token). La charge utile porte les revendications : des affirmations sur l'utilisateur ou la session comme iss (émetteur), sub (sujet), aud (audience), exp (expiration), ainsi que tout champ personnalisé ou OIDC ajouté par votre système. La signature, calculée à partir de l'en-tête et de la charge utile à l'aide d'une clé, permet à un serveur de vérifier que ces deux parties n'ont pas été modifiées. Ce décodeur sépare automatiquement le token, indique si l'algorithme est symétrique ou asymétrique, et explique chaque revendication enregistrée en langage clair. Comme l'en-tête et la charge utile sont simplement encodés, n'y stockez jamais de mots de passe ou de secrets. Collez un token ci-dessus pour voir son en-tête et ses revendications séparés et expliqués.

Oui — l'onglet Builder vous permet de composer une structure de JWT à des fins de test. Choisissez un algorithme de signature, définissez une durée d'expiration en minutes et ajoutez vos propres revendications : l'outil assemble alors l'en-tête et la charge utile correspondants. Point essentiel, le résultat est volontairement non signé : il comporte un espace réservé à l'endroit où la vraie signature doit figurer, que vous générez sur votre backend. Ce choix est délibéré, car signer dans le navigateur exposerait votre secret — une clé symétrique HS256, par exemple, doit rester côté serveur, sinon quiconque consulte le code source de la page pourrait forger des tokens valides. Le Builder est donc idéal pour esquisser des structures de token, prototyper des ensembles de revendications ou produire des exemples de charges utiles pour de la documentation, mais pas pour émettre des identifiants de production. Passez à l'onglet Builder pour ébaucher une structure de token, puis signez-la de façon sécurisée dans votre propre service.