Comment utiliser Décodeur JWT : guide complet (2026)

Qu'est-ce que Décodeur JWT ?

Un decodeur JWT decoupe un JSON Web Token en ses trois parties Base64URL pour lire l'en-tete, les claims du payload et la signature. Le Decodeur JWT gratuit de ToolsMinify affiche le JSON indente dans le navigateur et ne verifie jamais la signature dans Decode. L'onglet Encode de la meme page signe des jetons de test HS256 compacts avec Web Crypto - le secret ne quitte pas l'appareil. Rien de ce que vous collez n'est envoye.

Decodez l'en-tete, le payload et la signature d'un JWT dans le navigateur. Encodez des jetons de test HS256 sur la meme page. Decodeur JSON Web Token gratuit - rien n'est envoye.

Pourquoi utiliser Décodeur JWT ?

• Inspectez en-tete, payload et signature dans une seule vue
• JSON indente avec un bouton copier par section
• Retire un prefixe Bearer facultatif automatiquement
• Erreurs claires en cas de structure, Base64URL ou JSON invalides
• Onglet Encode pour signer des jetons HS256 dans le navigateur - pas de nouvelle URL
• Puces NumericDate pour iat/exp et controle du secret de 32 octets
• Decode ne verifie pas, entierement cote client - le jeton reste sur votre appareil

Comment utiliser Décodeur JWT - pas à pas

1. Étape 1 : Decode est l'onglet par defaut. Collez un JWT. Un prefixe Bearer est facultatif et est retire automatiquement.
2. Étape 2 : L'en-tete et le payload apparaissent en JSON indente. Les claims temporelles (iat, exp, nbf) montrent les secondes Unix plus les horloges UTC et locale. La signature est le troisieme segment brut.
3. Étape 3 : Passez a Encode pour signer un jeton de test. Le JSON d'en-tete est pre-rempli avec alg HS256. Modifiez le payload, utilisez au besoin une puce NumericDate pour iat ou exp, saisissez un secret et signez.
4. Étape 4 : Copiez le jeton, ou envoyez-le vers Decode pour inspecter le JSON compact effectivement signe. Si l'entree est mal formee, une courte erreur indique si la structure, l'encodage ou le JSON est en cause.

Le Décodeur JWT se trouvé sous Outils développeur. Ouvrez la page de l'outil, saisissez votre entrée dans le champ principal, et les résultats se mettent à jour instantanement. Utilisez le bouton copier pour coller la sortie dans des documents, éditeurs de code ou tableurs.

Cas d'usage courants

Déboguer des jetons bearer d'API

Collez un jeton depuis un en-tête Authorization pour voir alg, typ, sub, exp et d'autres claims sans l'envoyer à un débogueur tiers.

Contrôler les claims d'expiration et d'émission

Lisez iat et exp dans le payload quand une requête est refusée comme non autorisée, puis confirmez que la vraie vérification a toujours lieu sur votre serveur.

Apprendre la structure d'un JWT

Voyez comment header.payload.signature correspond à des objets JSON et à une signature Base64URL, y compris les jetons non sécurisés avec un troisième segment vide.

Creer des jetons de test HS256

Utilisez Encode pour signer des JWT HS256 compacts pour Postman ou des API locales. Les puces NumericDate definissent iat et exp sans chercher l'heure Unix a la main, et Inspecter dans Decode confirme le JSON compact signe.

Exemples

• JWT standard en trois parties : header.payload.signature se décode en un en-tête JSON (alg, typ), un payload JSON (claims telles que sub, iat, exp) et une signature Base64URL.
• En-tête Authorization : Collez Bearer eyJ... - l'outil retire le préfixe Bearer et décode le jeton.
• JWT non sécurisé (alg none) : Un jeton avec un troisieme segment vide se decode quand meme. Le champ signature reste vide - Decode ne verifie toujours rien.
• Jeton de test HS256 : Dans Encode, gardez l'en-tete HS256, definissez les claims, saisissez un secret de dev uniquement et signez. Le resultat est un JWT en trois parties pour Postman ou Decode.

Conseils pro

• L'onglet Decode ne verifie jamais les signatures. N'importe qui peut falsifier les claims de l'en-tete et du payload.
• Ne collez pas de secrets de production ni de jetons de session en direct dans un decodeur en ligne que vous ne controlez pas - celui-ci reste dans le navigateur, mais l'habitude compte encore.
• Un JWT valide a exactement trois parties. Un point final manquant sur un jeton non securise fera echouer le decodage.
• exp et iat sont des timestamps Unix en secondes ; cette page affiche les horloges UTC et locale, et le Convertisseur d'Unix Timestamp est a un clic.
• Encode force alg a HS256 et serialise du JSON compact. Les espaces de jwt.io changent la signature - cet encodeur suit la sortie compacte de jsonwebtoken.
• Les secrets HS256 doivent faire au moins 32 octets UTF-8. Associez-le au generateur de hachage pour apprendre HMAC, pas comme substitut a la verification cote serveur.

Questions fréquentes

Qu'est-ce qu'un JWT ?

Un JSON Web Token est constitue de trois parties encodees en Base64URL et separees par des points : un en-tete, un payload de claims et une signature. Les API les utilisent comme jetons bearer. Decode lit les parties. Encode construit un jeton signe HS256 pour les tests.

Ce decodeur verifie-t-il la signature ?

Non. L'onglet Decode ne verifie jamais. La verification necessite le secret ou la cle publique et doit avoir lieu sur un serveur de confiance. Decoder montre seulement ce que le jeton affirme, ce que n'importe qui peut falsifier.

Puis-je encoder ou signer un JWT ici ?

Oui, dans l'onglet Encode de cette meme page - il n'y a pas d'URL jwt-encoder separee. Il signe du JSON compact avec HMAC-SHA256 (HS256) dans le navigateur. Utilisez un secret de test, jamais une cle de production.

Pourquoi seulement HS256 et pas RS256 ?

HS256 est HMAC avec un secret partage et s'execute dans l'API Web Crypto sans envoyer de cle privee. RSA et ECDSA exigent des paires de cles et appartiennent a un serveur. Cette page force alg a HS256 pour que l'en-tete ne dise pas RS256 pendant que les octets sont HMAC. Pour le digest hex HMAC d'un message plus un secret, utilisez le mode HMAC de Hash Generator.

Mon jeton ou secret est-il envoye a un serveur ?

Non. Decode et Encode s'executent entierement dans votre navigateur. Rien de ce que vous collez n'est envoye, journalise ou stocke.

Pourquoi vois-je une erreur ?

Un JWT valide a exactement trois parties. L'en-tête et le payload doivent être du JSON encodé en Base64URL. Des points en trop, des parties manquantes ou un encodage corrompu produisent une erreur claire.

Puis-je faire confiance aux claims exp, sub ou role depuis cet outil ?

Pas à elles seules. N'importe qui peut créer un jeton avec n'importe quelles claims. Utilisez cette vue pour déboguer des jetons que vous avez déjà, puis vérifiez les signatures dans votre backend.

Qu'est-ce que Base64URL ?

Base64URL est du Base64 où + et / sont remplacés par - et _, souvent sans padding. L'en-tête et le payload d'un JWT utilisent cet encodage pour que le jeton soit sûr dans une URL.

Comment convertir les timestamps Unix de exp/iat d'un JWT en date lisible ?

Dans le payload d'un JWT, `iat` est l'heure d'émission et `exp` l'heure d'expiration (tous deux sont des Unix timestamps). Copiez ces nombres et collez-les dans le Unix Timestamp Converter : https://www.toolsminify.com/converter-tools/timestamp-converter. L'outil affiche la date/heure en UTC et dans votre fuseau horaire local.

Outils connexes dont vous pourriez avoir besoin

Explorez d'autres outils développeur sur ToolsMinify. Des utilitaires connexes sont liés sur la page de Décodeur JWT pour vous aider à terminer votre flux de travail sans quitter le site.