Décodeur JWT gratuitDécodez, vérifiez et signez des JSON Web Tokens.

Collez un token pour voir son header et ses claims, avec les dates d’expiration et d’émission sous forme de vraies dates.
Vérifiez la signature avec un secret ou une clé publique, ou signez un nouveau token pour vos tests.

Les tokens restent dans votre navigateurVérification de signatureExpiration lisible

Sans inscription Sans envoi de fichier Sans limite

Les tokens et les clés ne quittent jamais votre navigateur.

Token

Ou essayez un exemple

Décodé

Le header, le payload et les claims s’affichent ici.

Les tokens et les clés restent sur votre appareil.

TROIS ÉTAPES SIMPLES

Comment décoder un JWT

Collez le token

Collez un JWT, avec ou sans « Bearer ». Le header et le payload sont décodés immédiatement.

Lisez les claims

Voyez qui l’a émis, pour qui, et quand il expire, en dates dans votre fuseau horaire avec « dans 2 heures » ou « il y a 3 jours ».

Vérifiez la signature

Saisissez le secret ou collez la clé publique, le certificat ou le JWKS pour vérifier que le token n’a pas été modifié.

WaveSpeed AI

Vous développez avec une API ?

Générez des images, des vidéos et des modèles 3D depuis votre propre code avec WaveSpeed AI.

Commencer à créer Explorez plus de 1 000 modèles IA

Plus de 1 000 modèles IA
Image, vidéo et 3D
Paiement à l'usage

$1 de crédits gratuits pour les nouveaux comptes éligibles. Sans carte bancaire. Les générateurs ont leurs propres exigences de compte et de crédits. Ici, décodeur JWT est gratuit.

FAQ du décodeur JWT

Est-il sûr de coller un vrai token ici ?

Le token, le secret et les clés sont traités dans votre navigateur avec sa cryptographie intégrée et ne sont jamais envoyés nulle part. Malgré tout, un token actif fonctionne comme un mot de passe jusqu’à son expiration : préférez des tokens de test et ne le partagez jamais dans des discussions ou des tickets.

Quels algorithmes peut-il vérifier ?

HS256, HS384 et HS512 avec un secret partagé ; RS256/384/512 et PS256/384/512 avec une clé publique RSA ; ES256, ES384 et ES512 avec une clé publique EC ; et EdDSA (Ed25519) dans les navigateurs qui le prennent en charge. La clé peut être une clé publique PEM, un certificat X.509, une JWK ou un JWKS (choisie selon le kid du token).

Le décodage prouve-t-il qu’un token est authentique ?

Non. N’importe qui peut lire un JWT, car le header et le payload sont seulement encodés, pas chiffrés. Seule une signature valide montre qu’il a été émis par le détenteur de la clé et n’a pas été modifié.

Qu’est-ce que alg « none » ?

Un token non signé. Les serveurs ne doivent jamais l’accepter, et cet outil ne l’indique jamais comme vérifié.

Pourquoi mon expiration affiche-t-elle une date très lointaine ?

exp, iat et nbf doivent être des secondes depuis 1970. Une valeur en millisecondes est 1 000 fois trop grande ; le décodeur vous avertit quand il en détecte une.

Puis-je créer des tokens ?

Oui. Passez en mode Encoder, modifiez le header et le payload, et signez avec un secret (HS256/384/512) ou une clé privée au format PEM ou JWK. Des boutons rapides définissent iat et exp.

Les tokens chiffrés (JWE) sont-ils pris en charge ?

Non. Un JWE comporte cinq parties et nécessite la clé privée du destinataire pour être lu ; cet outil décode et vérifie les tokens signés (JWS).

Tous les outils gratuits