47 outils gratuits · Développement
Outils pour développeurs en ligne gratuits
Formater, encoder, tester ou générer sans envoyer une ligne à un serveur : tout s'exécute dans votre navigateur, ce qui vaut pour un mot de passe comme pour un jeton JWT.
Formater, encoder, tester ou générer sans envoyer une ligne à un serveur : tout s'exécute dans votre navigateur, ce qui vaut pour un mot de passe comme pour un jeton JWT.
Décodez les tokens JWT
Un jeton JWT est fait de trois parties séparées par des points, un en-tête, une charge utile et une signature, les deux premières étant simplement encodées en base64url, donc lisibles par tout le monde. Cet outil les décode et affiche le contenu formaté, avec la date d'expiration mise en évidence, ce qui répond à la question qu'on se pose neuf fois sur dix : le jeton est-il périmé. Le décodage a lieu dans votre navigateur, et le jeton n'est jamais conservé, y compris après fermeture de l'outil.
⚠️ La signature n'est pas vérifiée. Ne jamais faire confiance à un JWT non vérifié en production.
Non, et c'est le malentendu le plus courant : il est encodé, pas chiffré. N'importe qui peut lire sa charge utile, la seule chose que la signature garantit étant qu'elle n'a pas été modifiée. On n'y met donc jamais de mot de passe, de numéro complet de carte ou de donnée sensible.
Non, et l'outil l'affiche clairement. Vérifier une signature suppose la clé secrète ou la clé publique de l'émetteur, qui n'ont rien à faire dans un navigateur. Un jeton décodé n'est donc pas un jeton validé : côté serveur, la vérification reste obligatoire.
Ce sont des horodatages en secondes depuis 1970 : `iat` la date d'émission, `exp` la date d'expiration, `nbf` la date avant laquelle le jeton n'est pas valable. Un décalage d'horloge entre serveurs explique la plupart des rejets inattendus autour de ces trois valeurs.
Un résultat qui vous paraît faux, une valeur périmée, un cas qui manque ? Signalez-le à contact@topapps.fr