Décodeur de jeton JWT

Décodez l’en-tête et le contenu JSON d’un JWT sans vérifier sa signature.

Préparation de l’outil…

Parcours guidé

Comprendre les parties lisibles d’un JWT.

Imaginez l’en-tête fictif {"typ":"JWT"} et la charge utile {"sub":"demo-user"}. Ce sont des fragments JSON explicatifs, pas un jeton à coller.
Lisez les explications avant de lancer vous-même l’outil. Ce parcours ne charge aucun exemple et ne démarre aucune inspection.

Exemple illustratif

Un JWT en trois parties contient un en-tête, une charge utile et une signature. Le décodeur affiche les deux premières en JSON et indique que la signature n’est pas vérifiée.

Comprendre le résultat

Décoder ne signifie ni vérifier la signature ni authentifier. Les déclarations ne sont fiables qu’après validation correcte par le système destinataire. Cet outil ne déchiffre pas les JWE en cinq parties ; ne partagez jamais un véritable jeton d’accès.

Ce parcours pédagogique est statique. Il ne remplit aucun champ, ne génère aucune valeur et ne lit ni votre navigateur ni son stockage. Utilisez des données fictives et non secrètes pour vous exercer. Ne partagez jamais mots de passe, clés, jetons ou valeurs de cookies. Ces explications ne constituent ni un audit de sécurité ni une certification.

✓ Traitement local✓ Sans compte✓ Saisies traitées ici✓ Gratuit

Réponse rapide

Un JWT compact comporte des parties encodées; l’outil décode l’en-tête et le contenu pour les rendre lisibles.

Le code de la page et ses ressources sont chargés depuis le site; les valeurs saisies sont traitées dans votre navigateur, sans requête de calcul.

Mode d’emploi

Collez le jeton complet pour afficher ses données décodées. Évitez les jetons actifs ou confidentiels dans un appareil partagé.

Limites

Le décodage ne vérifie ni la signature, ni l’émetteur, l’audience, l’expiration ou la validité des revendications. Un jeton signé n’est pas nécessairement chiffré.

Questions fréquentes

Le décodage prouve-t-il qu’un JWT est authentique ?

Non. Le décodage lit seulement les parties encodées. L’application destinataire doit vérifier la signature et les revendications pertinentes.

Pourquoi les jetons à cinq parties ne sont-ils pas décodés ?

Un jeton compact en cinq parties est un JWE dont le contenu est chiffré. Cet outil lit les JWT signés à trois parties; le déchiffrement d’un JWE exige la clé appropriée.

Le contenu d’un JWT est-il chiffré ?

Pas nécessairement. Le contenu d’un JWT signé est généralement lisible par toute personne qui possède le jeton; le chiffrement est une autre forme de jeton.

Pourquoi utiliser un jeton de test ou expiré ?

Toute personne possédant un jeton d’accès porteur actif peut potentiellement accéder à ses ressources. Le décodage est local mais ne vérifie pas le jeton; ne collez que des identifiants de test ou fiables.

Pour aller plus loin

Lire un JWT de test sans le confondre avec un jeton valide

Sources et références

Ces références documentent la norme ou l’API citée ; elles ne valident pas la sortie de l’outil.