Décodeur & Encodeur JWT

Décode et encode des tokens JWT (HS256). Inspecte header, payload et claims d'expiration. 100% local, aucun token n'est jamais envoyé à un serveur.

Token JWT
Aucun token JWT à inspecter.

À propos : Décodeur & Encodeur JWT

Le décodeur JWT affiche le header et le payload d'un JSON Web Token sous forme de tableau lisible, avec les dates des claims exp, iat et nbf converties et un badge qui indique si le token est expiré. Le mode encodage fait l'inverse : tu écris un payload JSON et une clef secrète, et l'outil signe le token en HS256. Utile pour déboguer une authentification, vérifier les rôles d'un utilisateur ou créer un token de test. Le décodage et la signature restent dans ton navigateur.

Fonctionnalités

  • Décodage du header et du payload, avec chaque claim copiable séparément.
  • Dates des claims exp, iat et nbf converties en heure locale, avec un badge Expiré, Valide ou Pas encore valide.
  • Token coloré par partie (header, payload, signature) pour repérer chaque segment d'un coup d'œil.
  • Encodage d'un payload JSON en token signé HS256 avec ta clef secrète, calculé via l'API Web Crypto.
  • Token d'exemple à charger en un clic, et prise en charge des caractères accentués et des emoji.

Comment l'utiliser

  1. Colle ton token JWT dans le champ, ou clique sur Exemple pour en charger un.
  2. Lis le header et le payload décodés, et vérifie le statut d'expiration à côté des dates.
  3. Pour créer un token, passe sur l'onglet Encoder et saisis un payload JSON et une clef secrète.
  4. Copie le token généré avec le bouton de copie.

Questions relatives à l'utilisation

Non. Le décodage et la signature se font entièrement dans ton navigateur, aucun token ni secret n'est transmis. Le contenu des champs est en revanche gardé dans l'URL de la page : évite de partager ce lien s'il contient un vrai token ou une vraie clef secrète.

Non. Le décodeur lit le header et le payload, qui sont simplement encodés en Base64URL, mais ne vérifie pas la signature : il faudrait pour cela la clef secrète ou la clef publique. Un token décodé ici n'est donc pas garanti authentique.

L'encodeur signe uniquement en HS256 (HMAC avec SHA-256) à partir d'une clef secrète partagée. Le décodeur, lui, lit n'importe quel token au format header.payload.signature, quel que soit l'algorithme indiqué dans son header.