Décodeur JWT

Qu'est-ce qu'un JWT ?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Fonctionnalités clés

Exemples

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Comment utiliser

1. 1

   Collez votre JWT à décoder

   Collez le jeton complet à décoder — y compris les trois segments séparés par des points — dans la zone de saisie. Le décodeur s'exécute instantanément dans votre navigateur ; vous n'avez pas besoin de cliquer sur un bouton.

2. 2

   Lisez l'en-tête, la charge utile et le statut décodés

   Lisez l'algorithme et le type de jeton dans l'en-tête décodé, les réclamations dans la charge utile décodée, et les puces d'expiration / d'émission en haut. Un jeton expiré est signalé en rouge.

3. 3

   Copiez la sortie décodée

   Utilisez le bouton Copier de chaque panneau pour copier le JSON de l'en-tête décodé, le JSON de la charge utile décodée ou la signature brute. Votre jeton n'a jamais été envoyé nulle part — le décodage s'est effectué localement dans votre navigateur.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Cas d'usage courants

Décoder les jetons Authorization Bearer

Décodez les jetons JWT des en-têtes Authorization: Bearer pour vérifier les réclamations, l'audience et l'expiration que votre backend reçoit.

Décoder les jetons OAuth 2.0 et OIDC

Décodez les jetons d'accès et les jetons ID retournés par les serveurs d'autorisation (Auth0, Okta, Google, Keycloak) lors de l'intégration OAuth 2.0 et OpenID Connect.

Diagnostic de session expirée

Confirmez en une seconde si un jeton rejeté est expiré, utilise la mauvaise audience ou souffre d'un problème de dérive d'horloge.

Vérifications de rotation de clés

Lisez le kid (identifiant de clé) dans l'en-tête pour vérifier que votre rotation JWKS émet des jetons signés avec la clé attendue.

Revues de sécurité

Repérez les jetons signés avec alg:none, sans exp, ou divulguant des informations personnelles dans la charge utile pendant la revue de code et les pentests.

Inspection de jetons microservices

Décodez les jetons de service à service à l'intérieur d'un maillage pour voir quels scopes et quel sujet un appel en aval autorise.

Détails techniques

Conforme à la RFC 7519

Gère les jetons JWS conformes à la RFC 7519 (JWT), à la RFC 7515 (JWS) et à la RFC 7518 (JWA) — tous les algorithmes enregistrés sont pris en charge pour le décodage.

Décodage Base64URL

Utilise l'alphabet Base64 sûr pour les URL (- et _ à la place de + et /) défini dans la RFC 4648, avec une analyse tolérante au remplissage.

Natif au navigateur, zéro dépendance

Construit sur atob, TextDecoder et JSON.parse du navigateur — aucune bibliothèque externe, aucun appel réseau, aucune télémétrie.

Bonnes pratiques

Ne jamais faire confiance sans vérifier

Un décodeur affiche les réclamations ; il ne les prouve pas. Vérifiez toujours la signature côté serveur contre la clé de l'émetteur avant de faire confiance à toute réclamation.

Rejeter alg:none en production

Configurez votre bibliothèque JWT avec une liste d'autorisation explicite d'algorithmes. N'acceptez jamais alg:none, et soyez méfiant face aux incohérences d'alg lors de la rotation de clés.

Gardez les charges utiles minces

Placez des identifiants et des réclamations à courte durée de vie dans le JWT ; gardez les données volumineuses derrière un identifiant de session opaque. Les gros jetons coûtent de la bande passante à chaque requête.

Questions fréquentes