Convertisseur Gratuit
Décodeur de Token JWT
Décodez l'en-tête et la charge utile d'un JWT (JSON Web Token) instantanément dans votre navigateur. Gratuit, privé et côté client — aucune donnée n'est envoyée au serveur.
Décodez l'en-tête et la charge utile d'un JWT (JSON Web Token) instantanément dans votre navigateur. Gratuit, privé et côté client — aucune donnée n'est envoyée au serveur.
Les jetons Web JSON (JWT) sont un format compact et sécurisé pour les URL pour la transmission de revendications entre deux parties, défini par la RFC 7519. Un JWT est constitué de trois segments codés en base64url séparés par des points : en-tête (algorithme et type de jeton), charge utile (revendications) et signature (preuve cryptographique d'authenticité). L'en-tête et la charge utile sont JSON, codés en base64url pour la sécurité des URL ; la signature utilise l'un des nombreux algorithmes (HS256, RS256, ES256 et autres) sur l'en-tête et la charge utile codés.
Le décodage d'un JWT (le diviser en segments et le décoder en base64 chacun) ne nécessite aucun secret. Toute personne disposant du texte du jeton peut lire son en-tête et sa charge utile. La signature ne peut cependant être vérifiée qu'avec la clé secrète (HMAC) ou publique (asymétrique). Le décodage est destiné à l’inspection ; la vérification est ce qui prouve l’authenticité.
Ce décodeur divise le jeton, décode en base64 chaque segment, analyse l'en-tête et la charge utile au format JSON et affiche le résultat. Il ne tente pas de vérifier la signature car cela nécessite la clé secrète ou publique, que le décodeur ne possède pas. La sortie décodée est une inspection en lecture seule – utile pour le débogage des jetons mais ne remplace pas une vérification appropriée dans le code de l’application.
Le débogage des problèmes d’authentification implique presque toujours l’inspection des jetons. Un jeton qui semble valide dans le code peut contenir des déclarations erronées, un algorithme inattendu, un horodatage d'expérience expiré ou une inadéquation d'audience. Le décodage du jeton révèle exactement ce que l'émetteur a produit.
L'inspection des jetons pendant le travail d'intégration est également utile. Lors de la connexion à une API ou à un fournisseur d'identité tiers, il est préférable de comprendre les noms, formats et structures des revendications réelles en décodant des exemples de jetons plutôt qu'en s'appuyant sur une documentation qui peut être obsolète.
Collez le jeton, obtenez le contenu analysé.
Le format JWT est constitué de trois segments reliés par des points. Chaque segment est codé en base64url – la variante sécurisée pour les URL de base64 qui utilise - et _ au lieu de + et /, avec un remplissage parfois omis. Le décodage nécessite l'annulation des substitutions sécurisées pour les URL, le remplissage du segment et le décodage en base64.
L'en-tête et la charge utile sont JSON après décodage. Le segment de signature est binaire (octets de signature bruts) et n'est pas lisible par l'homme ; il faut que la clé de vérification soit utile.
Revendications courantes définies dans la RFC 7519 : iss (émetteur), sub (identifiant du sujet), aud (audience), exp (expiration en secondes d'époque Unix), nbf (horodatage pas avant), iat (horodatage émis à), jti (ID de jeton unique). Les revendications spécifiques à une application peuvent apparaître sous n'importe quel nom.