Aller au contenu principal
LibraTool logoLibraTool

Décodeur JWT — outil gratuit

Décodez et inspectez n'importe quel JSON Web Token. Consultez l'en-tête, le contenu, l'expiration et les revendications standard. Tout s'exécute localement dans votre navigateur — les jetons ne quittent jamais votre appareil.

Fonctionne hors ligne une fois chargé

🔒 Le jeton est décodé entièrement dans votre navigateur. Rien n'est envoyé à un serveur.

Utilisations courantes

  • Déboguer les problèmes d'authentification avec JWT DecoderInspectez les JWT de votre application pour déboguer les échecs de connexion, les problèmes d'autorisations et les problèmes d'expiration des tokens.
  • Inspectez les jetons API lors du test des points de terminaisonDécodez les JWT renvoyés par votre API pour vérifier que les bonnes revendications, portées et autorisations sont émises.
  • Audit de sécurité des jetons JWTExaminez les JWT dans le cadre d'un audit de sécurité, vérifiez les algorithmes de signature faibles, les durées de vie excessives des tokens ou les données sensibles dans la charge utile.
  • Inspectez les jetons OAuth et OpenID ConnectDécodez les jetons d'accès, les jetons d'identification et les jetons d'actualisation de Google, Auth0, Okta, Microsoft et d'autres fournisseurs OAuth.
  • Découvrez comment fonctionnent les jetons JWTDécodez les exemples JWT pour comprendre la structure : en-tête, charge utile et signature. Voir des exemples de revendications du monde réel.

Comment ça marche

Le décodeur est un analyseur écrit à la main, sans dépendance, qui s'exécute entièrement dans votre navigateur : il découpe le jeton sur les points, convertit chaque segment Base64URL en Base64 ordinaire par remplacement de chaîne et le complète à un multiple de quatre, puis appelle les atob() et JSON.parse natifs du navigateur pour récupérer les objets d'en-tête et de charge utile. La vérification optionnelle de signature utilise l'API Web Crypto (crypto.subtle.verify) — sans bibliothèque, sans serveur.

  1. 1
    Décodage Base64URL
    L'outil découpe le JWT sur ses deux délimiteurs points, donnant trois segments. Chaque segment est en Base64URL — qui utilise - et _ au lieu de + et / et omet le remplissage. Le code réinverse ces caractères et complète avec des signes =, puis appelle l'atob() intégré du navigateur pour décoder les octets.
  2. 2
    Analyse JSON et extraction des revendications
    Les octets décodés sont transmis à JSON.parse pour produire les objets d'en-tête et de charge utile. Les revendications enregistrées exp, iat et nbf sont extraites comme horodatages Unix et converties en objets Date ; le statut d'expiration est revérifié toutes les 20 secondes via setInterval afin qu'un jeton qui expire pendant que l'onglet est ouvert passe automatiquement de valide à expiré. Les horodatages relatifs ('dans 3 jours', 'il y a 2 heures') sont formatés avec Intl.RelativeTimeFormat en utilisant le paramètre régional de votre navigateur.
  3. 3
    Affichage de la signature et vérification optionnelle
    La chaîne de signature Base64URL brute est affichée à côté de l'en-tête et de la charge utile. Si vous fournissez une clé, l'outil appelle crypto.subtle.importKey et crypto.subtle.verify pour vérifier la signature localement. Il accepte les secrets partagés HMAC (HS256/384/512), les clés publiques RSA encodées PEM (RS256/384/512), et les clés publiques ECDSA ou objets JWK/JWKS (ES256/384/512) — déterminé par le champ alg dans l'en-tête.
  4. 4
    Aucune requête réseau
    Chaque étape — décodage, calcul d'horodatage, et vérification cryptographique — s'exécute à l'intérieur du moteur JavaScript du navigateur. Le jeton et toute clé que vous saisissez ne quittent jamais votre appareil.

Les JWT portent souvent des identifiants de session, l'identité de l'utilisateur, et des portées d'autorisation ; cet outil les décode et les vérifie optionnellement entièrement dans votre navigateur avec atob() et l'API Web Crypto, si bien que ni le jeton ni aucune clé que vous fournissez n'est transmis nulle part.

Outils associés

🔗

Encodeur et décodeur d'URL

Encodez et décodez des URLs et des chaînes de requête. Prend en charge encodeURIComponent, decodeURIComponent et l'analyse de chaînes de requête.

Essayer
🔎

Inspecteur UUID

Décodez n'importe quel UUID ou ULID — consultez sa version, sa variante et l'horodatage de création intégré dans v1, v6, v7 et les ULIDs. S'exécute entièrement dans votre navigateur.

Essayer
🔢

Encodeur et décodeur Base64

Encodez du texte ou des fichiers en Base64, ou décodez des chaînes Base64 en texte brut. Instantané, privé et gratuit.

Essayer

Questions fréquemment posées