exp) dans la charge utile, aidant les développeurs à examiner les problèmes d'authentification, d'authentification unique et de jetons d'API.Présentation
Le décodeur JWT est un outil de débogage conçu pour analyser les JSON Web Tokens. Il divise la chaîne compacte en trois segments en sections Header, Payload et Signature lisibles, et détecte intelligemment le temps d'expiration (
Comment utiliser cet outil
Étape 1 — collez un JWT complet (de la forme
xxxxx.yyyyy.zzzzz) dans le champ d'entrée, ou cliquez sur « Exemple » pour charger un jeton de test. Étape 2 — l'outil décode automatiquement le Header et le Payload en Base64URL et les formate en JSON lisible. Étape 3 — si le Payload contient une revendication exp, l'outil la compare au temps actuel et affiche un avertissement visible lorsque le jeton a expiré. Étape 4 — la Signature est affichée en Base64URL brut car sa vérification nécessite le secret et doit être effectuée côté serveur. Étape 5 — copiez le Header ou le Payload décodé pour faciliter le débogage.Cas d'usage courants
Déboguer les flux OAuth 2.0 et OIDC en inspectant les revendications dans
access_token ou id_token ; les développeurs front-end extraient les jetons des Cookies ou du LocalStorage pour vérifier les champs d'identité (sub, role, iat, exp) ; vérifier les JWT émis via des passerelles de microservices telles que Kong ou APISIX ; déboguer la propagation de jetons entre systèmes lors de l'intégration d'un SSO.Détails techniques
L'outil analyse uniquement la structure du JWT ; il ne vérifie pas les signatures HMAC, RSA ou ECDSA (qui nécessitent la clé de signature ou la clé publique et doivent être vérifiées côté serveur). Base64URL utilise
-/_ au lieu de +// du Base64 standard, et l'outil complète automatiquement le remplissage. Un JWT comporte trois segments séparés par . ; les autres nombres de segments déclenchent une erreur. exp, iat et nbf sont des horodatages Unix (secondes) comparés au temps actuel.Confidentialité et sécurité
L'analyse s'exécute entièrement dans votre navigateur et aucun contenu de jeton n'est envoyé. Notez cependant qu'un jeton de production est en pratique un identifiant utilisateur — évitez de le divulguer sur des appareils publics ou dans des outils de chat publics.