Décodeur JWT

Le décodage seul ne vérifie pas l'authenticité, car l'en-tête et la charge utile sont seulement encodés en base64url, non chiffrés, et n'importe qui peut les lire sans clé. Pour vérifier si un jeton a vraiment été signé par la partie attendue, utilisez le champ de vérification de signature facultatif ci-dessous, qui ne prend en charge que l'algorithme HS256.

HS256 utilise un seul secret partagé pour signer et vérifier, donc cet outil peut vérifier une signature en utilisant uniquement le secret que vous fournissez. RS256, ES256 et d'autres algorithmes asymétriques signent avec une clé privée et vérifient avec une clé publique différente, que cet outil ne collecte pas, donc leur vérification sécurisée est hors de portée ici.

Ce sont des revendications d'horodatage JWT standard, toutes exprimées en temps Unix (secondes depuis 1970). exp indique quand le jeton expire, iat indique quand il a été émis, et nbf (« not before ») est le moment le plus tôt où le jeton est considéré valide. Cet outil convertit automatiquement chacune en une date lisible.

Cela signifie que la revendication exp dans la charge utile est un horodatage antérieur à l'heure actuelle, donc un serveur validant correctement ce jeton le rejetterait. Cet outil ne vérifie que la revendication et l'horloge de votre appareil, il ne contacte aucun serveur.

Le jeton est entièrement décodé dans votre navigateur et n'est jamais envoyé nulle part, donc le coller ici est aussi sûr que de le consulter dans la console de développement de votre propre navigateur. Cela dit, traitez tout jeton contenant des revendications sensibles comme vous traiteriez un mot de passe, et évitez de coller des jetons dans des outils auxquels vous ne faites pas confiance.