Décodeur JWT - Décoder les jetons web JSON & vérifier l’expiration en ligne

Collez le JWT encodé (le long eyJ... dans la boîte d’entrée. L’outil le divise en deux points, décode l’en-tête et la charge utile par Base64URL, et affiche le JSON pour chacun plus le segment de signature brut — le tout sans effectuer de requête réseau.

Non. Le décodeur ne fait que traiter le jeton — il ne vérifie pas la signature par rapport à une clé secrète ou publique, car la vérification nécessite le matériel de clé de l’émetteur. Utilisez une bibliothèque JWT côté serveur pour la vérification en production ; Cet outil est destiné à l’inspection et au débogage.

Vous obtenez l’en-tête (algorithme et identifiant de clé), les revendications de payload (sub, iss, aud, iat, exp et toutes les revendications personnalisées) ainsi que la signature brute. Les affirmations horodatages standard sont formatées en dates lisibles par l’humain, ce qui permet de repérer les jetons obsolètes d’un coup d’œil.

Si la charge utile contient la revendication standard « exp », l’outil la compare à l’heure actuelle et affiche soit « Valide jusqu’à » soit « Jeton expiré à » avec l’horodatage exact. Les jetons sans demande d’expérience sont signalés comme n’ayant pas d’expiration.

Toute personne qui lit la charge utile d’un JWT peut l’utiliser jusqu’à son expiration, donc les jetons de production appartiennent aux outils privés. Ce décodeur s’exécute entièrement dans votre navigateur et ne transmet jamais le jeton, mais la règle la plus sûre est de décoder les jetons de développement à courte durée chaque fois que possible.

Un JWT possède trois segments encodés en Base64URL, séparés par des points : en-tête (algorithme de signature), payload (les revendications que l’émetteur souhaite que le vérifiateur fasse confiance) et signature (une signature MAC ou numérique sur header.payload). Le décodage n’a jamais besoin d’une clé — seule la vérification en a besoin.