Décoder JWT en ligne — Header, payload et signature

Collez un JWT pour afficher son en-tête et son payload en JSON formaté. La signature apparaît à part. Nous ne vérifions pas les signatures, et votre jeton n’est jamais envoyé à un serveur.

Chargement…
Décodeur JWT pour inspection locale
Décodez l’en-tête et le payload d’un JWT dans votre navigateur. Vous pouvez vérifier la signature sur place avec un secret pour HMAC ou une clé publique pour RSA, RSA-PSS, ECDSA ou EdDSA. Pour JWKS et le contrôle des claims, utilisez jwt-verify.

Fonctionnement du décodage JWT

Collez le jeton complet (trois segments Base64URL séparés par des points). L’en-tête et le payload s’affichent en JSON formaté. Le décodage se met à jour automatiquement pendant la modification. Les éditeurs démarrent vides : utilisez **Charger l’exemple** ou choisissez un algorithme pour charger une fixture de démonstration. La vérification facultative compare la signature quand vous collez le secret de signature ou la clé publique (selon l’algorithme). Un jeton avec alg=none est décodé comme non signé. Pour récupérer un JWKS ou contrôler l’audience et l’émetteur (issuer), utilisez jwt-verify.

Confidentialité et limites

Les jetons ne quittent jamais votre navigateur. Cet outil ne récupère pas de clés JWKS distantes et ne valide pas les claims exp, nbf et aud. Associez-le à jwt-encode pour les fixtures, ou à jwt-verify pour des politiques de confiance asymétriques complètes.

Workflow typique

Jeton d'accès OAuth

Entrée exemple

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Sortie attendue

L’en-tête affiche alg et typ. Le payload affiche sub, exp et scopes.

Déboguer des 401

Entrée exemple

Coller le token depuis l'onglet Réseau

Sortie attendue

Vérifier exp et issuer avant d'incriminer les routes API.

Utilitaires d’encodage liés

Pour signer des jetons HS256 destinés à des fixtures, utilisez jwt-encode. Encoder et décoder ici n’établit pas la confiance : appuyez-vous sur votre fournisseur d’identité pour cela.

FAQ décodage JWT

Décoder ≠ vérifier

Est-ce que cet outil vérifie les signatures ?

Oui, en option. La vérification sur place couvre les jetons non signés (alg none) et HMAC avec HS256, HS384 ou HS512. Elle couvre aussi RSA avec RS256, RS384 ou RS512, RSA-PSS avec PS256, PS384 ou PS512, ECDSA avec ES256, ES384 ou ES512, et EdDSA avec Ed25519. Collez le secret ou la clé publique. Cette page ne récupère pas de JWKS et ne contrôle pas les claims exp, aud et iss. Pour cela, utilisez jwt-verify. Décoder seul ne prouve jamais l’authenticité.

Mon token est-il envoyé à FastMinify ?

Non. Le décodage reste dans le navigateur.

Puis-je coller des jetons de rafraîchissement sans risque ?

Le traitement reste local, mais traitez les jetons comme des secrets. Évitez le partage d’écran et videz le champ ensuite.

Encodage

Encodez ou décodez Base64, composants URL et entités HTML — uniquement côté client.

Découvrez les autres catégories d'outils