Inspecteur & Décodeur de Jeton JWT
Décodé localement dans la mémoire du navigateur. Jamais envoyé sur un serveur distant.
Inspecteur & Décodeur de Jeton JWT
Décodé localement dans la mémoire du navigateur. Jamais envoyé sur un serveur distant.
Avis de sécurité crucial : Décoder un JWT ne fait que convertir du Base64URL en JSON lisible. LE DÉCODAGE N'EST PAS UNE VÉRIFICATION DE SIGNATURE. N'importe qui peut falsifier une charge utile.
Comment Inspecter et Décoder des Jetons JWT en Toute Sécurité
1. Collez votre Jeton JWT
Collez la chaîne compacte composée de trois parties séparées par des points (En-tête.ChargeUtile.Signature) ou chargez un jeton de test.
2. Vérifiez l'En-tête et l'Algorithme
Inspectez le type de jeton ("typ": "JWT") et l'algorithme de signature ("alg": "HS256", "RS256"). Surveillez l'absence d'algorithme ("none").
3. Analysez les Revendications (Claims)
Inspectez la date d'expiration (exp), la date d'émission (iat), l'émetteur (iss), le destinataire (aud) et les identifiants utilisateur (sub).
4. Contrôlez l'État d'Expiration en Temps Réel
Consultez le compte à rebours précis indiquant si le jeton est encore valide, expiré ou pas encore actif (nbf).
Structure des Jetons et Mécanismes Base64URL
Un jeton JWT (RFC 7519) est constitué de trois segments concaténés avec des points : Base64URL(En-tête) . Base64URL(Charge Utile) . Signature. Le décodage convertit ces chaînes en JSON lisible via TextDecoder UTF-8. Aucun algorithme de chiffrement n'est utilisé dans un JWS standard : les données sont simplement encodées.
| Spécification / Paramètre | Norme & Valeur Requise |
|---|---|
| Spécifications RFC | RFC 7519 (JWT) et RFC 7515 (JWS) |
| Format d'Encodage | Base64URL (sans padding, caractères sûrs) |
| Format Temporel | Horodatage Unix Epoch (secondes depuis 1970) |
| Lieu d'Exécution | Mémoire locale client (zéro paquet réseau) |
Avertissement de Sécurité : Décodage vs Vérification de Signature
Décoder un jeton JWT permet uniquement de lire son contenu encodé en Base64URL. Cela ne prouve en aucun cas que le jeton est authentique. N'importe qui peut créer un jeton falsifié. Seul un serveur possédant la clé secrète peut valider la signature cryptographique.
Questions Fréquentes : Décodage et Analyse de Jetons JWT
Cet outil vérifie-t-il l'authenticité de mon jeton ?
Non. Le décodage inverse simplement l'encodage Base64URL. La vérification de la signature requiert la clé secrète sur votre serveur backend.
Mes jetons sont-ils transmis à un serveur distant ?
Non. L'analyse s'effectue à 100% dans la mémoire locale de votre navigateur. Aucun jeton n'est envoyé sur le réseau ni enregistré.
Quel est le danger d'un algorithme "none" ?
L'algorithme "none" indique que le jeton n'est pas signé. Si votre serveur l'accepte, des attaquants peuvent usurper n'importe quel compte sans clé.
Quelle est la différence entre JWS et JWE ?
Un JWS est signé mais lisible par tous. Un JWE chiffre entièrement la charge utile, empêchant sa lecture sans la clé de déchiffrement.