Vérifier JWT en ligne — 14 algorithmes vs JWKS, PEM et claims

Vérifiez la signature d’un JWT et les claims exp/aud/iss en option dans le navigateur. Vérification en direct contre un JWKS/JWK collé, un PEM public ou un secret HMAC, avec le même jeu d’algorithmes que jwt-encode/decode. Onglets Encoder · Décoder · Vérifier. Collage uniquement, sans récupération de JWKS distant. Vérifier une signature ≠ autoriser.

…
Vérifier un JWT, local au navigateur
Vérification complète : signature plus claims de temps et d’audience en option. Accepte un JWKS, un JWK, un PEM SPKI/X.509 ou un secret HMAC, et ne récupère jamais de clé distante.

Notes dev

Collez d’abord le JWT — les onglets trust suivent l’alg du header. Algorithmes : HS256/384/512, RS256/384/512, PS256/384/512, ES256/384/512, EdDSA (comme jwt-encode/decode). `alg: none` rejeté. jwt-decode vérifie la signature inline ; cet outil ajoute exp/nbf/aud/iss. vérif ≠ confiance ni autorisation. 512 Ko par champ.

Options

Tolérance horaire
Secondes pour exp/nbf.
Ignorer expiration
Signature toujours vérifiée.
Audience
aud doit correspondre si renseigné.
Issuer
iss doit correspondre si renseigné.

Cas d'usage

Déboguer l’authentification d’une API avec le JWKS d’un fournisseur. Vérifier aud/iss après jwt-decode. Jetons de test jwt-encode (tous les algorithmes pris en charge).

Exemples

RS256 + JWKS

JWT

eyJhbGciOiJSUzI1NiIsImtpZCI6ImRvYy1yc2EifQ.eyJzdWIiOiJkZW1vLXVzZXIiLCJhdWQiOiJhcGkiLCJleHAiOjE4MTU3NzIxMDJ9.llca6yHME4h-6XH_GR9sFN6qIGiwyAfy9rUA2ezs9rRmdLEfCMAYSb5YvHo9hMd5PBsb7heUff-iXctMJFbRIWzKZhOcjwOuLc2Jkd9kxhwQoXdICS2liioMc4aNWyUj8-j-9YbsC7pu122EzZrFzpEED3kT4CVPT7WuVLTm9-EHoLSL-M1DhtwvTcX4C-w7mhI_SGkkQfd_J923-BlM0bltDqWZLAeia9dciRigloK615-s9P7mMjcYWIEtkV0h62LW_1t150tvPCTNlo4vBEBUhat8K47Oqt6qsecktPfPHzdigvT8DmBxCzIvb8jTuDtoEWssCt1dfuL67DWy6g

Résultat

{ "valid": true }

Outils liés

Famille JWT : jwt-encode · jwt-decode. Pour les clés, utilisez inspect-jwks · pem-jwk-converter.

FAQ vérif JWT

Coller uniquement

URL JWKS ?

Non. Collez le JSON, rien n’est récupéré.

Utilisateur de confiance ?

Non. Seuls la signature et les claims sont vérifiés.

jwt-decode ?

La lecture et la vérification de signature en ligne se font sur jwt-decode. Ici, vous avez JWKS/PEM et la politique exp/aud/iss.

Algorithmes ?

Les 14 algorithmes de jwt-encode/decode : HS256/384/512, RS*, PS*, ES*, EdDSA. `alg:none` est rejeté.

PEM public au lieu de JWKS ?

Oui. Utilisez l’onglet PEM public pour SPKI ou un certificat X.509.

Sécurité & tokens

Inspectez des JWKS, vérifiez des JWT, décodez des certificats X.509, convertissez PEM et JWK, cherchez des secrets et hachez avec bcrypt dans votre navigateur.

Découvrez les autres catégories d'outils