Décodeur JWT — Vérification de signature

Ce que fait le Décodeur JWT

Le Décodeur JWT sépare un JSON Web Token en ses trois segments délimités par des points, décode l'en-tête et la charge utile en base64url, et met en forme ces objets JSON. Il est utile pour déboguer des flux de connexion, des en-têtes d'autorisation d'API, des callbacks OAuth, le comportement du rafraîchissement et des tests qui dépendent de revendications comme le sujet, l'émetteur, l'audience, l'heure d'émission et l'heure d'expiration. Chaque revendication est listée dans un tableau avec sa signification standard, et les revendications temporelles sont converties pour vous.

L'outil peut aussi vérifier la signature. Les jetons HMAC (HS256, HS384, HS512) nécessitent le secret partagé, que vous pouvez coller en texte brut ou en Base64. Les jetons asymétriques (RS256, PS256, ES256, leurs variantes 384/512, et EdDSA) nécessitent la clé publique de l'émetteur sous forme de bloc PEM PUBLIC KEY ou d'un JWK unique provenant du point de terminaison JWKS du fournisseur. Un résultat vert signifie que le jeton a été signé avec cette clé et n'a pas été modifié ; un résultat rouge signifie que la clé est incorrecte ou que le jeton a été falsifié. Les jetons qui utilisent alg: none sont signalés comme non signés.

Un flux de travail privé dans le navigateur

Tout le traitement s'effectue avec du JavaScript et l'API Web Crypto dans le navigateur. L'outil n'envoie à aucun serveur vos jetons, secrets, clés, URL ou valeurs générées, et ne demande aucun compte. Ce modèle de confidentialité est important, car les petits utilitaires reçoivent souvent de vraies réponses d'API, des exemples de configuration, des journaux, des données d'authentification ou des exemples proches de données clients lors du dépannage. Travailler en local réduit les risques et rend l'outil instantané, puisqu'il n'y a aucun aller-retour réseau.

Lire la sortie décodée

Les revendications standard que vous verrez souvent sont iss (émetteur), sub (sujet), aud (audience), exp (expiration), nbf (pas avant) et iat (émis à). Les revendications temporelles sont des timestamps Unix en secondes ; le tableau des revendications affiche chacune sous forme de date UTC ISO 8601 accompagnée d'un temps relatif comme « dans 2 heures » ou « il y a 3 jours », et la ligne d'état indique d'un coup d'œil si le jeton est valide, expiré ou pas encore valide.

Le décodeur attend exactement trois segments séparés par des points ; toute autre forme produit une erreur de décodage. Les jetons chiffrés (JWE) comportent cinq segments et ne peuvent pas être lus sans la clé, et un segment qui n'est pas du JSON base64url valide échouera aussi. Une signature valide prouve qui a émis le jeton, mais votre application doit tout de même vérifier l'émetteur, l'audience et l'expiration. Traitez les jetons actifs comme des mots de passe : même si rien ne quitte votre navigateur ici, évitez de coller des jetons de production dans des outils auxquels vous ne faites pas confiance ou de partager publiquement la sortie décodée.