Décodeur JWT
Collez un JSON Web Token pour voir son en-tête et sa charge utile décodés, mis en forme en JSON lisible.
En-tête
—
Contenu (payload)
—
Questions fréquentes
Cet outil vérifie-t-il la signature du token ?
Non. L'en-tête et la charge utile d'un JWT sont simplement du JSON encodé en base64url, lisible par n'importe qui sans aucun secret, cet outil décode uniquement cette partie. Vérifier la signature nécessite le secret ou la clé publique de l'émetteur et est une étape distincte, délibérément omise ici.
Est-il sûr de coller ici un vrai token de production ?
Le décodage se fait entièrement dans votre navigateur avec JavaScript, le token n'est jamais envoyé à un serveur. Cela dit, par habitude générale, évitez de coller des tokens actifs (surtout avec des données sensibles) dans n'importe quel outil web, décodez un exemple ou un token expiré si possible.
Pourquoi n'importe qui peut-il lire le contenu d'un JWT ?
Les JWT sont signés, pas chiffrés, par conception. La signature prouve que le token n'a pas été altéré, mais la charge utile elle-même est parfaitement visible pour quiconque possède le token. Ne mettez jamais de secrets ou de données personnelles sensibles directement dans une charge utile JWT.