Décodeur JWT

Un JWT est trois segments encodés Base64URL séparés par des points : Header.Payload.Signature. Le Header décrit le type de jeton et l’algorithme de signature (ex. HS256, RS256). Le Payload porte les claims — id utilisateur, rôles, expiry (exp), issued-at (iat), et tout champ personnalisé que votre API y met. La Signature est un sceau cryptographique sur les deux premières parties ; ce décodeur vous montre la chaîne de signature brute mais ne la vérifie pas, car la vérification exige le secret ou la clé publique.

Décoder ne fait que décoder Base64URL le header et le payload pour lire les claims — n’importe qui peut le faire sans clé, car les JWT sont signés, pas chiffrés. Vérifier contrôle que la signature correspond avec le secret ou la clé publique de l’émetteur, ce qui prouve que le jeton n’a pas été altéré et vient d’une partie de confiance. Cet outil est un décodeur pour le debug ; il ne prétendra jamais qu’un jeton est authentique sauf si vous vérifiez séparément la signature dans votre propre backend.

Ces claims sont stockés en temps Unix en secondes depuis 1970-01-01 UTC. Cet outil détecte les clés de timestamp courantes (exp, iat, nbf, auth_time) et affiche la date/heure locale équivalente à côté de chaque valeur. Pour exp spécifiquement, il badge aussi le jeton comme Expired ou Active selon l’horloge actuelle du navigateur — utile pour repérer d’un coup d’œil un décalage d’horloge ou des jetons de staging périmés.

Les JWT de production et staging contiennent souvent des ids utilisateur, e-mails, rôles ou autres PII dans le payload — et parfois les gens collent des jetons qui apparaissent aussi dans des en-têtes Authorization à côté de secrets. Un debugger serveur reçoit toute cette chaîne. Cet outil n’uploade jamais rien : décodage Base64URL, parsing JSON et formatage des timestamps tournent tous dans votre navigateur, donc les jetons sensibles restent sur votre machine.