Que fait le décodeur JWT ?

Il sépare et décode les trois parties d'un JSON Web Token — header, payload et signature — et affiche le contenu du header et du payload sous forme de JSON lisible et coloré, ainsi que l'état d'expiration et de la signature.

Comment fonctionne le décodage ?

Le header et le payload d'un JWT sont simplement du Base64URL (pas du chiffrement). L'outil décode ces parties en JSON et les affiche. La signature reste encodée car c'est un hachage cryptographique servant à vérifier l'intégrité.

Est-il sûr de coller mon jeton ici ?

Oui. Tout le décodage se fait localement dans votre navigateur via JavaScript. Aucun jeton, secret ou donnée n'est envoyé aux serveurs de ToolboxHub. Évitez néanmoins de partager publiquement des jetons de production valides.

Comment vérifier la signature ?

Pour les jetons signés avec HMAC (HS256, HS384 ou HS512), saisissez le secret dans le champ correspondant : l'outil recalcule la signature localement et indique si elle correspond. Pour les algorithmes asymétriques (RS256, ES256, etc.), la vérification nécessiterait la clé publique et n'est pas effectuée ici.

Comment savoir si le jeton est expiré ?

L'outil lit les claims exp (expiration) et nbf (not before) du payload, les convertit en date/heure dans votre fuseau horaire et affiche un badge indiquant si le jeton est valide, expiré ou pas encore valide.

Quels algorithmes sont pris en charge ?

Le décodage fonctionne avec n'importe quel JWT, quel que soit l'algorithme. La vérification de signature intégrée couvre les algorithmes HMAC : HS256, HS384 et HS512. Les algorithmes asymétriques sont décodés mais non vérifiés.

Pourquoi le payload n'est-il pas chiffré ?

Un JWT standard est signé, pas chiffré : quiconque possède le jeton peut lire le payload. La signature garantit que le contenu n'a pas été altéré, mais ne le cache pas. C'est pourquoi vous ne devez jamais mettre de données sensibles (mots de passe, cartes) dans le payload d'un JWT.

Décodeur JWT en ligne gratuit : Header, Payload et Signature

À propos du Décodeur JWT

Collez un JSON Web Token (JWT) et visualisez ses trois parties décodées dans une vue structurée et colorée : le Header (algorithme et type), le Payload (claims, expiration et scopes) et la signature. Tout le décodage se fait localement dans votre navigateur — le jeton n'est jamais envoyé à un serveur. Pour les jetons HMAC, vous pouvez saisir le secret et vérifier la signature. Pour générer des hachages, utilisez notre Générateur de Hash.

Décoder en 3 étapes

Collez le jeton JWT dans le champ de saisie.
Visualisez le Header, le Payload et la signature décodés automatiquement.
Vérifiez l<strong>expiration</strong> et, si le jeton est HMAC, saisissez le <strong>secret</strong> pour valider la signature.

Structure d'un JWT

Un JWT comporte trois parties encodées en Base64URL et séparées par des points : header.payload.signature.

Partie	Couleur	Signification
Header	Rouge	Métadonnées : algorithme de signature (alg) et type (typ).
Payload	Bleu	Les claims : données sur l'utilisateur, permissions, émission et expiration.
Signature	Sarcelle	Garantit l'intégrité du jeton ; calculée sur le header et le payload avec une clé secrète.

Claims enregistrés du JWT

Les claims ci-dessous sont normalisés par la RFC 7519. D'autres claims (personnalisés) peuvent aussi apparaître dans le payload.

Claim	Nom	Signification
`iss`	Émetteur	Qui a émis le jeton (issuer).
`sub`	Sujet	Sujet du jeton, généralement l'ID de l'utilisateur (subject).
`aud`	Audience	Destinataire(s) auquel/auxquels le jeton est destiné (audience).
`exp`	Expire le	Date/heure d'expiration — après elle, le jeton ne doit plus être accepté (expiration).
`nbf`	Valide à partir de	Date/heure avant laquelle le jeton n'est pas valide (not before).
`iat`	Émis le	Date/heure d'émission du jeton (issued at).
`jti`	ID du jeton	Identifiant unique du jeton (JWT ID).

Décodeur JWT