Qu'est-ce qu'il y a dans ce jeton JWT ? Comment le décoder ?
Colle un jeton JWT : l'outil affiche le header, le payload et la signature. Tout tourne dans ton navigateur, le jeton ne quitte jamais ton appareil.
C'est important parce que le célèbre jwt.io envoie les jetons sur le réseau. Y coller un jeton de production = inviter les ennuis. Ici, tout est en local.
Parfait pour debugger l'autorisation : access tokens, refresh tokens, ID tokens issus d'Auth0, Cognito, Firebase, Keycloak.
Comment l'utiliser
- Copie ton jeton JWT (commence par « eyJ... » et contient 3 sections séparées par des points).
- Colle dans le champ texte : le parsing est automatique (pas de clic).
- À droite, tu vois le header (algorithme + type), à gauche le payload (claims : sub, iss, exp, claims personnalisés), la signature en dessous.
- Les pastilles en haut affichent : algorithme (HS256/RS256/...), type (JWT/JWE), date d'émission (iat), expiration (exp). Jeton expiré = la pastille exp passe au rouge.
Quand c'est utile
Sept situations typiques où un décodeur JWT t'aide à comprendre ce qu'il y a vraiment dans le jeton :
- Debug d'autorisation. Tu reçois un jeton du backend, tu veux voir les claims (role, organization, scopes).
- Auth0 / Cognito / Firebase / Keycloak. Décoder l'ID token révèle tous les attributs utilisateur.
- Vérification d'expiration. Le refresh token est-il encore valide ? La pastille exp répond.
- Code review. Un collègue a collé un jeton dans le chat, tu veux voir ce qu'il y a dedans avant de remonter un incident.
- Pédagogie. Voir comment JWT fonctionne vraiment, pour les gens qui apprennent l'autorisation.
- OAuth 2.0 / OpenID Connect. Parsing des Bearer access tokens.
- Audit. Exp trop long ? Mauvais scopes ? Signature SHA-1 ?
Questions et réponses
Non. Vérifier HS256 nécessite la clé secrète, RS256 nécessite la clé publique. Le décodeur montre uniquement la structure. Pour vérifier ou signer des jetons dans le navigateur, utilise notre signataire/vérificateur JWT. Si tu as besoin d'une paire de clés RSA / EC pour signer, génère-la avec le générateur de clés JWT.