Est-il sûr de coller mon JWT ici ?

Le décodage et la vérification se font uniquement dans votre navigateur ; rien n'est envoyé à notre serveur. Traitez quand même les jetons de production comme des mots de passe : quiconque détient un jeton valide peut l'utiliser jusqu'à son expiration.

Un JWT est-il chiffré ?

Non. Un JWT classique (JWS) est seulement encodé en Base64URL et signé : tout le monde peut lire le payload. N'y mettez jamais de mots de passe ni de secrets. La signature prouve seulement que le jeton n'a pas été modifié.

Pourquoi ne puis-je pas vérifier un jeton RS256 ou ES256 ?

Ces algorithmes se vérifient avec la clé publique de l'émetteur, pas avec un secret partagé. Cet outil vérifie les algorithmes HMAC (HS256, HS384, HS512) avec le secret saisi.

Que signifient exp, iat et nbf ?

Ce sont des horodatages Unix en secondes : exp est l'expiration, iat la date d'émission et nbf le moment avant lequel le jeton ne doit pas être accepté.

Décodeur JWT – décoder et vérifier un JSON Web Token en ligne

Comment décoder un JWT

Collez le jeton (trois parties Base64URL séparées par des points) dans le champ.
Lisez l'en-tête et le payload décodés. Les dates s'affichent dans votre fuseau horaire.
Vérifiez le statut : expiré, valide ou pas encore valide.
Pour HS256/HS384/HS512, saisissez le secret et cliquez sur Vérifier.

Structure d'un JWT et claims standard

Partie / claim	Signification	Exemple
En-tête	Algorithme et type de jeton	{"alg":"HS256","typ":"JWT"}
Payload	Informations (claims) sur l'utilisateur et le jeton	{"sub":"123","exp":1767225600}
Signature	Prouve que l'en-tête et le payload n'ont pas été modifiés	HMACSHA256(header.payload, secret)
iss / sub / aud	Émetteur / sujet (utilisateur) / destinataire	"https://auth.example.com"
exp / iat / nbf	Expiration / émission / validité (secondes Unix)	1767225600

Questions fréquentes

Q. Est-il sûr de coller mon JWT ici ?: Le décodage et la vérification se font uniquement dans votre navigateur ; rien n'est envoyé à notre serveur. Traitez quand même les jetons de production comme des mots de passe : quiconque détient un jeton valide peut l'utiliser jusqu'à son expiration.
Q. Un JWT est-il chiffré ?: Non. Un JWT classique (JWS) est seulement encodé en Base64URL et signé : tout le monde peut lire le payload. N'y mettez jamais de mots de passe ni de secrets. La signature prouve seulement que le jeton n'a pas été modifié.
Q. Pourquoi ne puis-je pas vérifier un jeton RS256 ou ES256 ?: Ces algorithmes se vérifient avec la clé publique de l'émetteur, pas avec un secret partagé. Cet outil vérifie les algorithmes HMAC (HS256, HS384, HS512) avec le secret saisi.
Q. Que signifient exp, iat et nbf ?: Ce sont des horodatages Unix en secondes : exp est l'expiration, iat la date d'émission et nbf le moment avant lequel le jeton ne doit pas être accepté.

Outils similaires

Dernière mise à jour: 14 novembre 2026