Décodeur et vérificateur JWT

Décodez, expliquez et vérifiez des JWT. Expiration visible d’un coup d’œil, signatures contrôlées localement.

Fonctionne en local · aucun envoi
Encoded token
Header 
Payload


Claims
Signature 



Secrets and keys are only used in this tab and are never saved or sent anywhere.
Ce que fait l’outil
Collez un jeton : il est décodé au fil de la saisie.
  • Jeton coloré : l’en-tête, le payload et la signature sont mis en évidence, si bien qu’un copier-coller raté saute aux yeux.
  • JSON mis en forme pour l’en-tête et le payload, chacun avec copie et téléchargement.
  • Tableau des claims qui explique chaque claim standard (iss, sub, aud, exp, nbf, iat, jti, ainsi que les claims OpenID Connect et Microsoft courants) et convertit les horodatages en dates UTC avec des durées relatives.
  • Ligne d’état : valide, expire dans 12 min, expiré il y a 3 jours ou pas encore valide. Les dates en millisecondes au lieu de secondes sont signalées.
  • Erreurs claires pour les jetons mal formés : mauvais nombre de parties, JWE chiffrés, caractères base64url non valides (avec leur position) et JSON cassé.
Vérification de la signature
La vérification utilise l’API WebCrypto de votre navigateur :
  • HS256 / HS384 / HS512 avec un secret texte ou Base64. Les secrets plus courts que le hash sont signalés (RFC 7518).
  • RS256-512 et PS256-512 avec une clé RSA, ES256 / ES384 / ES512 avec une clé EC, et EdDSA (Ed25519) si le navigateur le prend en charge.
  • La clé peut être un PEM PUBLIC KEY, un RSA PUBLIC KEY, un CERTIFICATE X.509, un JWK ou un JWK Set complet (la clé est choisie d’après son kid).
  • Une clé qui ne correspond pas à l’algorithme (par exemple une clé RSA pour ES256) est signalée comme telle, et non comme un échec vague.
Créer un jeton
L’onglet Créer un jeton signe un payload JSON avec HS256, HS384 ou HS512. Il propose des boutons pour iat et exp et génère un secret aléatoire de la bonne longueur.
Confidentialité
Les jetons sont décodés localement. Les secrets et les clés ne sont jamais enregistrés ni envoyés nulle part. Seuls le jeton et le brouillon de payload sont conservés dans le stockage local : supprimez donc les jetons de production avec Effacer une fois terminé.