Décodeur JWT

Ce que fait ce décodeur JWT

Un JSON Web Token se compose de trois parties encodées en Base64URL séparées par des points : l'en-tête (algorithme et type), le payload (claims) et la signature. Ce décodeur JWT en ligne sépare ces trois segments et affiche leur contenu JSON formaté en un clic — sans jamais transmettre votre token à un serveur. Cette version française est conçue pour les développeurs francophones qui déboguent des flux OAuth 2.0, OpenID Connect ou des API REST sécurisées. Toute l'opération de décodage se déroule 100 % dans le navigateur — vos données ne quittent jamais votre machine. Pas d'upload, pas de tracking, pas de logs serveur. Notez que décoder un token n'équivaut pas à le vérifier : les claims lus ne doivent jamais être utilisés pour des décisions d'autorisation sans que la signature ait été validée côté serveur avec la clé appropriée.

Fonctionnalités

• Décodage instantané header / payload. Collez un token JWT ou un bearer token : l'en-tête et le payload sont affichés en JSON indenté en moins d'une milliseconde, sans rechargement de page.
• Mise en évidence des claims standards. Les claims RFC 7519 — iss, sub, aud, exp, iat, nbf, jti — sont identifiés et libellés explicitement pour faciliter la lecture, notamment lors du débogage de tokens d'accès expirés.
• Statut d'expiration en temps réel. Le champ exp est comparé à l'heure locale : le décodeur indique immédiatement si le token est expiré ou encore valide, avec la date et l'heure exactes formatées selon le fuseau Europe/Paris.
• Détection de l'algorithme. L'algorithme déclaré dans l'en-tête (HS256, RS256, ES256…) est affiché en évidence. Cela aide à repérer une configuration inattendue, y compris le cas dangereux alg=none.
• Copie en un clic. Chaque section — en-tête, payload, signature brute — dispose d'un bouton Copier pour coller rapidement dans votre terminal ou votre suite de tests.
• Confidentialité totale. Aucune requête réseau n'est émise. Le décodage s'effectue via JSON.parse(atob(token.split('.')[1])) directement dans votre navigateur, ce qui le rend sûr même pour les tokens contenant des données personnelles.

Comment utiliser le décodeur JWT

Collez votre token dans le champ, appuyez sur Entrée ou cliquez sur Décoder — le résultat s'affiche immédiatement en trois panneaux.

1. Copiez votre token. Récupérez le JWT depuis votre application, les DevTools du navigateur ou votre client REST. Le préfixe « Bearer » est accepté et ignoré automatiquement.
2. Collez dans le champ. Déposez le token dans la zone de saisie. Le décodage est lancé à la volée ; aucune validation de formulaire n'est requise.
3. Lisez header et payload. L'en-tête révèle l'algorithme (alg) et le type (typ). Le payload liste tous vos claims : en Python, vous obtiendriez le même résultat avec import jwt; jwt.decode(token, options={'verify_signature': False}).
4. Vérifiez le statut d'expiration. Le panneau de statut indique si le claim exp est dépassé. Utile pour diagnostiquer une erreur 401 avant même d'interroger votre serveur d'autorisation.
5. Copiez la section utile. Cliquez sur Copier sous le panneau souhaité pour exporter le JSON formaté vers votre éditeur ou votre outil de débogage.

Cas d'usage courants

• Débogage de tokens OAuth 2.0 expirés. Lorsqu'une API renvoie une erreur 401 à Bruxelles ou Strasbourg, vérifiez instantanément si le claim exp est dépassé sans avoir à décoder manuellement la chaîne Base64URL.
• Inspection des claims aud et iss. Les erreurs d'audience ou d'émetteur sont courantes lors de l'intégration d'un provider OIDC. Ce JWT parser affiche ces valeurs clairement pour comparer avec la configuration attendue.
• Lecture de claims personnalisés. Les fournisseurs d'identité (Keycloak, Auth0, Azure AD) injectent des rôles ou des métadonnées dans le payload. Parsez le token pour inspecter ces claims sans écrire de code.
• Validation du format avant les tests d'intégration. Avant de lancer votre suite de tests, décodez un access token de staging pour vous assurer que les claims attendus sont présents et correctement formés.
• Vérification rapide en environnement de développement. En phase de développement local, décoder un bearer token permet de valider la chaîne de signature et la structure du header sans dépendre d'un outil externe ou d'une bibliothèque.

Questions fréquentes