Décodeur JWT

JWT Decoder divise un jeton Web JSON en ses trois segments séparant les points, base64url-décèle l'en-tête et la charge utile, et rend les deux en JSON formaté. Les JWT ne sont pas cryptés - le "encodage" n'est que Base64URL, une transformation réversible - ainsi, quiconque détenant un jeton peut lire toutes les revendications à l'intérieur. Cet outil rend cette inspection instantanée : collez un jeton à partir d'un en-tête de cookie Set-cookie, un en-tête d'autorisation (le préfixe de support est supprimé automatiquement) ou le tableau de bord de votre fournisseur d'authentification, et voyez exactement ce que votre serveur y a mis.

Le tableau des revendications est l'endroit où le débogage se produit réellement. Les réclamations à temps enregistrés - exp (expiration), IAT (émises AT) et NBF (pas avant) - sont des horodatages Unix, inutiles à lire RAW. Le décodeur convertit chacun en une date humaine et une heure relative ("expirée il y a 3 heures", "expire en 14 minutes") et les jetons périmés en rouge. La plupart des incidents "401 non autorisés, mais le jeton semble bien" se résume à une EX expirée, à une NBF à horloge ou à une réclamation AUD qui ne correspond pas à ce que valide l'API - tous visibles ici en deux secondes.

Une chose que cet outil ne fait délibérément pas : vérifier les signatures. La vérification nécessite la signature secrète (HS256) ou publique (RS256/ES256), et un outil côté client vous demandant de coller un secret HMAC serait d'enseigner de mauvaises habitudes. Le décodage est à 100 % côté client. Le jeton ne quitte jamais votre navigateur, n'atteint aucun serveur et n'apparaît dans aucun journal des demandes, ce qui compte, car un JWT de production en direct est un identifiant au porteur. Quiconque l'a, c'est vous.

Le décodage n'est pas vérifié, et la distinction est l'ensemble du modèle de sécurité d'un JWT. L'en-tête et la charge utile sont Base64url, non chiffrés, de sorte que toute personne détenant un jeton peut lire toutes les réclamations sans aucune clé. La signature de la signature est la preuve que le contenu n'a pas été modifié et que sa vérification nécessite la clé secrète ou publique, qui est une opération côté serveur. Traitez la charge utile comme une information publique : n'y mettez jamais rien de sensible.