Décodeur JWT

Découpe un JSON Web Token à ses deux points en header, payload et signature, décode en Base64URL les segments header et payload, et affiche chacun en JSON formaté et lisible.

Collez une chaîne JWT complète dans le champ de saisie ; le header et le payload décodés apparaissent automatiquement dans deux panneaux séparés en dessous. Le segment de signature est affiché tel quel, car le décoder ne produirait pas de texte sensé.

Un token commençant par `eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.signature` se décode en un header `{"alg":"HS256"}` et un payload `{"sub":"1234"}` — le champ `alg` nomme l'algorithme de signature, et `sub` est un claim standard identifiant le sujet du token.

Cela montre les claims du token — des éléments comme `exp` (expiration), `iat` (émis le) et tout champ personnalisé ajouté par une application — mais ne vérifie pas la signature, donc cela ne peut pas dire si le token est authentique ou a été altéré ; n'importe qui peut construire un JWT avec un payload arbitraire sans connaître la clé de signature.

Vérifier la signature d'un JWT nécessite soit la clé secrète (pour les algorithmes HMAC comme HS256), soit la clé publique (pour les algorithmes RSA/ECDSA comme RS256) utilisée pour le signer — comme cet outil ne demande ni ne reçoit jamais cette clé, il ne peut que décoder, jamais valider.

Les payloads JWT contiennent souvent des identifiants utilisateur, des rôles ou des permissions qui ne devraient pas être exposés, c'est pourquoi le décodage se fait entièrement dans votre navigateur plutôt que sur un serveur auquel il faudrait confier le token.

Le décodage s'exécute entièrement dans votre navigateur via du JavaScript côté client ; le token collé n'est jamais transféré vers un serveur ni stocké.