À propos de cet outil
Quand un appel d’API authentifié échoue en 401 ou 403, la première question est ce que dit réellement le token : à qui il a été émis, pour quelle audience, avec quels rôles, et s’il a expiré. Ce décodeur découpe le token, décode le header et le payload Base64URL, et affiche les claims enregistrés avec exp, iat et nbf convertis en dates et en durées relatives. Il signale aussi les réglages qui méritent un test de sécurité, comme alg "none", des clés intégrées ou des URL de clés distantes. Il ne vérifie pas la signature : cela exige le secret ou la clé publique, et les claims décodés seuls ne prouvent rien.
Mode d’emploi
- Collez le token. Un préfixe « Bearer » provenant d’un en-tête Authorization est retiré automatiquement.
- Vérifiez l’expiration dans le bandeau d’état, puis lisez les panneaux header et payload.
- Utilisez le tableau des claims pour comparer iss, aud et sub avec ce qu’attend l’API.
- Passez en revue les avertissements, qui suggèrent des tests négatifs à lancer contre votre API.
FAQ : Décodeur JWT
Puis-je coller ici un token de production sans risque ?
Le décodage se fait entièrement dans votre navigateur et le token n’est jamais envoyé, mais il est conservé par commodité dans le stockage local du navigateur jusqu’à ce que vous cliquiez sur « Clear ». Traitez un token valide comme un mot de passe : préférez les environnements de test et effacez-le quand vous avez terminé.
Pourquoi le token apparaît-il valide ici alors que l’API le rejette ?
L’expiration n’est qu’une vérification parmi d’autres. Le serveur vérifie aussi la signature, l’émetteur, l’audience, parfois la date not-before avec une tolérance de décalage d’horloge, et si le token a été révoqué. Un aud ou un iss qui ne correspond pas est une cause fréquente de 401 entre environnements.
Que tester quand je vois alg « none » ou HS256 ?
Renvoyez le token avec alg à "none" et la signature supprimée, puis avec le payload modifié mais la signature d’origine conservée. Une API correcte doit rejeter les deux. Pour HS256, vérifiez aussi que le secret est long et aléatoire, car un secret HMAC faible peut être cassé par force brute hors ligne à partir de n’importe quel token intercepté.