Décodeur JWT : lire un jeton web JSON (JWT)

Mode d'emploi

Collez le jeton dans JWT. Il a trois parties séparées par des points.
Lisez Algorithme de signature pour voir comment le jeton indique qu'il est signé.
Vérifiez Expiration. Vert signifie que le jeton est encore valide à l'heure de votre appareil.
Lisez Revendications et Charge utile pour voir pour qui est le jeton et ce qu'il contient.

Ce que contient un JWT

Un jeton web JSON a trois parties séparées par des points. Les deux premières sont des objets JSON codés en base64url : l'en-tête indique comment le jeton est signé, et la charge utile contient les revendications, c'est-à-dire des affirmations comme la personne visée par le jeton et sa date d'expiration. La troisième partie est la signature.

La RFC 7519 définit sept noms de revendications enregistrés : iss, sub, aud, exp, nbf, iat et jti. Le tableau explique chacun, et les trois revendications de temps sont aussi montrées sous forme de dates dans votre langue.

Décoder n'est pas vérifier

Cette page ne fait que décoder le jeton. Elle ne contrôle pas la signature, car cela exige la clé avec laquelle le jeton a été signé, et une clé de vérification est secrète. Un jeton décodé peut tout de même être falsifié : ne faites donc pas confiance à une revendication seulement parce que vous pouvez la lire ici.

Pour vérifier un jeton, votre serveur ou votre bibliothèque doit contrôler la signature avec la bonne clé et l'algorithme attendu, et rejeter un jeton dont la signature est fausse.

Comment l'expiration est lue

La revendication exp est un nombre de secondes depuis le 1er janvier 1970 à 00:00 UTC. La RFC 7519, section 4.1.4, dit qu'un jeton ne doit pas être accepté à partir de cet instant : à l'instant exact, il compte donc déjà comme expiré.

Un jeton sans revendication exp n'expire jamais. La page l'affiche en rouge, car un jeton qui n'expire jamais est un risque qu'il faut connaître.

Exemple détaillé : le jeton d'exemple de la RFC 7519

L'exemple de la RFC 7519, section 3.1, a l'en-tête alg HS256, et la charge utile iss joe, exp 1300819380 et une revendication personnalisée. La valeur exp correspond au 22 mars 2011 à 18:43 UTC, si bien que la page affiche le jeton comme expiré. La signature n'est pas contrôlée : le résultat est donc le même pour toute signature.

Revendication	Valeur	Signification
iss	joe	Émetteur : qui a créé le jeton
exp	1300819380 (22 mars 2011 à 18:43 UTC)	Date d'expiration
http://example.com/is_root	true	Une revendication personnalisée

Questions fréquentes

Mon jeton est-il envoyé à un serveur ?

Non. Le jeton est décodé dans votre navigateur, et la page ne le stocke ni ne l'envoie. Vous pouvez le vérifier en décodant un jeton une fois la page chargée, avec votre connexion internet coupée.

Cette page vérifie-t-elle que le jeton est authentique ?

Non. Elle lit seulement l'en-tête et les revendications. La vérification de la signature exige la clé avec laquelle le jeton a été signé, que cette page ne demande jamais. Votre application doit faire ce contrôle.

Pourquoi la page dit-elle qu'un jeton a expiré alors que mon application l'accepte encore ?

Votre application peut accorder un délai de tolérance, ou contrôler l'expiration avec sa propre horloge. La page compare exp à l'heure de votre appareil : une horloge d'appareil fausse peut aussi changer le résultat.

Que signifie l'algorithme none ?

L'en-tête indique que le jeton n'a pas de signature. N'importe qui peut écrire un tel jeton : un service ne doit donc jamais l'accepter pour une opération importante. La page le signale par une note.

Pourquoi une date affiche-t-elle une heure que je n'attendais pas ?

La date est affichée dans votre langue et votre fuseau horaire, avec le nom du fuseau à la fin. Le nombre qui la précède est la valeur stockée dans le jeton : des secondes depuis 1970, en UTC.

Cette page peut-elle lire un jeton chiffré ?

Non. Un jeton chiffré a cinq parties, et son contenu ne peut pas être lu sans la clé. Cette page ne lit que les jetons signés, qui ont trois parties.

Sources

Chiffres et texte vérifiés pour la dernière fois le mardi 10 novembre 2026.

Résultat