Qu'est-ce qu'un JWT ?

Un JSON Web Token est constitue de trois parties encodees en Base64URL et separees par des points : un en-tete, un payload de claims et une signature. Les API les utilisent comme jetons bearer. Decode lit les parties. Encode construit un jeton signe HS256 pour les tests.

Ce decodeur verifie-t-il la signature ?

Non. L'onglet Decode ne verifie jamais. La verification necessite le secret ou la cle publique et doit avoir lieu sur un serveur de confiance. Decoder montre seulement ce que le jeton affirme, ce que n'importe qui peut falsifier.

Puis-je encoder ou signer un JWT ici ?

Oui, dans l'onglet Encode de cette meme page - il n'y a pas d'URL jwt-encoder separee. Il signe du JSON compact avec HMAC-SHA256 (HS256) dans le navigateur. Utilisez un secret de test, jamais une cle de production.

Pourquoi seulement HS256 et pas RS256 ?

HS256 est HMAC avec un secret partage et s'execute dans l'API Web Crypto sans envoyer de cle privee. RSA et ECDSA exigent des paires de cles et appartiennent a un serveur. Cette page force alg a HS256 pour que l'en-tete ne dise pas RS256 pendant que les octets sont HMAC. Pour le digest hex HMAC d'un message plus un secret, utilisez le mode HMAC de Hash Generator.

Mon jeton ou secret est-il envoye a un serveur ?

Non. Decode et Encode s'executent entierement dans votre navigateur. Rien de ce que vous collez n'est envoye, journalise ou stocke.

Pourquoi vois-je une erreur ?

Un JWT valide a exactement trois parties. L'en-tête et le payload doivent être du JSON encodé en Base64URL. Des points en trop, des parties manquantes ou un encodage corrompu produisent une erreur claire.

Puis-je faire confiance aux claims exp, sub ou role depuis cet outil ?

Pas à elles seules. N'importe qui peut créer un jeton avec n'importe quelles claims. Utilisez cette vue pour déboguer des jetons que vous avez déjà, puis vérifiez les signatures dans votre backend.

Qu'est-ce que Base64URL ?

Base64URL est du Base64 où + et / sont remplacés par - et _, souvent sans padding. L'en-tête et le payload d'un JWT utilisent cet encodage pour que le jeton soit sûr dans une URL.

Comment convertir les timestamps Unix de exp/iat d'un JWT en date lisible ?

Dans le payload d'un JWT, `iat` est l'heure d'émission et `exp` l'heure d'expiration (tous deux sont des Unix timestamps). Copiez ces nombres et collez-les dans le Unix Timestamp Converter : https://www.toolsminify.com/converter-tools/timestamp-converter. L'outil affiche la date/heure en UTC et dans votre fuseau horaire local.

Outils développeur

Décodeur JWT

Collez un JSON Web Token pour inspecter son en-tete, son payload et sa signature.

Mode

HS256 uniquement

JSON Web Token

DÃ©codage uniquement - cette vue ne vÃ©rifie pas la signature. Ne faites pas confiance aux claims tant qu'un serveur n'a pas vÃ©rifiÃ© le jeton.

À propos de Décodeur JWT

Collez un JSON Web Token pour inspecter son en-tete, son payload et sa signature. Ce decodeur JWT gratuit decoupe le jeton aux points, decode en Base64URL les deux premieres parties et affiche le JSON indente. Decode ne verifie pas la signature - traitez les claims comme non fiables tant qu'un serveur ne les a pas controlees. L'onglet Encode signe un jeton HS256 compact dans le navigateur via Web Crypto; le secret ne quitte pas la page. RSA n'est pas propose. Tout s'execute cote client.

Comment utiliser Décodeur JWT

Decode est l'onglet par defaut. Collez un JWT. Un prefixe Bearer est facultatif et est retire automatiquement.
L'en-tete et le payload apparaissent en JSON indente. Les claims temporelles (iat, exp, nbf) montrent les secondes Unix plus les horloges UTC et locale. La signature est le troisieme segment brut.
Passez a Encode pour signer un jeton de test. Le JSON d'en-tete est pre-rempli avec alg HS256. Modifiez le payload, utilisez au besoin une puce NumericDate pour iat ou exp, saisissez un secret et signez.
Copiez le jeton, ou envoyez-le vers Decode pour inspecter le JSON compact effectivement signe. Si l'entree est mal formee, une courte erreur indique si la structure, l'encodage ou le JSON est en cause.

Exemples de Décodeur JWT

JWT standard en trois parties

header.payload.signature se décode en un en-tête JSON (alg, typ), un payload JSON (claims telles que sub, iat, exp) et une signature Base64URL.

En-tête Authorization

Collez Bearer eyJ... - l'outil retire le préfixe Bearer et décode le jeton.

JWT non sécurisé (alg none)

Un jeton avec un troisieme segment vide se decode quand meme. Le champ signature reste vide - Decode ne verifie toujours rien.

Jeton de test HS256

Dans Encode, gardez l'en-tete HS256, definissez les claims, saisissez un secret de dev uniquement et signez. Le resultat est un JWT en trois parties pour Postman ou Decode.

Que contient un JWT

Lire le guide complet

Comment utiliser Décodeur JWT : guide complet (2026) - 5 min de lecture

Questions fréquentes sur Décodeur JWT

Qu'est-ce qu'un JWT ?: Un JSON Web Token est constitue de trois parties encodees en Base64URL et separees par des points : un en-tete, un payload de claims et une signature. Les API les utilisent comme jetons bearer. Decode lit les parties. Encode construit un jeton signe HS256 pour les tests.
Ce decodeur verifie-t-il la signature ?: Non. L'onglet Decode ne verifie jamais. La verification necessite le secret ou la cle publique et doit avoir lieu sur un serveur de confiance. Decoder montre seulement ce que le jeton affirme, ce que n'importe qui peut falsifier.
Puis-je encoder ou signer un JWT ici ?: Oui, dans l'onglet Encode de cette meme page - il n'y a pas d'URL jwt-encoder separee. Il signe du JSON compact avec HMAC-SHA256 (HS256) dans le navigateur. Utilisez un secret de test, jamais une cle de production.
Pourquoi seulement HS256 et pas RS256 ?: HS256 est HMAC avec un secret partage et s'execute dans l'API Web Crypto sans envoyer de cle privee. RSA et ECDSA exigent des paires de cles et appartiennent a un serveur. Cette page force alg a HS256 pour que l'en-tete ne dise pas RS256 pendant que les octets sont HMAC. Pour le digest hex HMAC d'un message plus un secret, utilisez le mode HMAC de Hash Generator.
Mon jeton ou secret est-il envoye a un serveur ?: Non. Decode et Encode s'executent entierement dans votre navigateur. Rien de ce que vous collez n'est envoye, journalise ou stocke.
Pourquoi vois-je une erreur ?: Un JWT valide a exactement trois parties. L'en-tête et le payload doivent être du JSON encodé en Base64URL. Des points en trop, des parties manquantes ou un encodage corrompu produisent une erreur claire.
Puis-je faire confiance aux claims exp, sub ou role depuis cet outil ?: Pas à elles seules. N'importe qui peut créer un jeton avec n'importe quelles claims. Utilisez cette vue pour déboguer des jetons que vous avez déjà, puis vérifiez les signatures dans votre backend.
Qu'est-ce que Base64URL ?: Base64URL est du Base64 où + et / sont remplacés par - et _, souvent sans padding. L'en-tête et le payload d'un JWT utilisent cet encodage pour que le jeton soit sûr dans une URL.
Comment convertir les timestamps Unix de exp/iat d'un JWT en date lisible ?: Dans le payload d'un JWT, `iat` est l'heure d'émission et `exp` l'heure d'expiration (tous deux sont des Unix timestamps). Copiez ces nombres et collez-les dans le Unix Timestamp Converter : https://www.toolsminify.com/converter-tools/timestamp-converter. L'outil affiche la date/heure en UTC et dans votre fuseau horaire local.

Générateur de hachage

Générez des hachages SHA-256, SHA-1, SHA-384 et SHA-512 à partir de n'importe quel texte. HMAC est sur la même page. Obtenez instantanément le résumé hexadécimal minuscule dans votre navigateur - rien n'est téléchargé.

Convertisseur d’Unix Timestamp

Convertissez les Unix timestamps (secondes ou millisecondes) en ISO 8601, UTC et en votre date/heure locale. Convertissez les dates locales en Unix secondes et millisecondes. Fonctionne dans votre navigateur.

Encodeur/décodeur Base64

Encodeur et décodeur Base64 en ligne gratuits. Encodez le texte en Base64 ou décodez Base64 en texte brut, avec prise en charge complète d'Unicode (UTF-8) - s'exécute entièrement dans votre navigateur.