Comment ça marche
Divisez le jeton en points. Les deux premiers segments sont du JSON codé en Base64URL ; le troisième concerne les données de signature binaire. Cet outil décode l'en-tête et la charge utile, imprime joliment le JSON et convertit iat et exp des secondes Unix en dates lisibles. Il ne vérifie jamais la signature.
- La signature n'est pas vérifiée : c'est un décodeur, pas un validateur. Ne collez jamais de secrets de production dans un outil en ligne, y compris celui-ci.
Pourquoi c'est important
La plupart des bugs JWT ne sont pas cryptographiques. Il s'agit de jetons expirés avec des délais déroutants, de revendications lues dans la mauvaise unité ou de charges utiles approuvées par un client qui n'a jamais vérifié la signature. La lecture correcte du jeton répond immédiatement à la plupart de ces questions.
Un exemple concret
La charge utile d'un jeton d'accès typique contient sub, iat et exp. Le décodage affiche les revendications au format JSON et convertit l'exp de secondes en une date lisible, ce qui explique immédiatement une erreur « expirée ».
Erreurs courantes
- Lire les revendications et ignorer complètement la vérification de la signature.
- Coller des jetons de production dans n'importe quel outil en ligne.
- Confondre les horodatages en millisecondes avec l'exp basée sur la seconde JWT.
Conseils pratiques
Déboguer avec des jetons émis par un locataire de développement, jamais de production. N'oubliez pas que la révocation d'un JWT nécessite généralement un état côté serveur ; les expirations courtes et les jetons de rafraîchissement constituent une alternative pratique aux listes noires.
Comment l'utiliser
- Ouvrez l'outil. Tout se déroule dans l'onglet de votre navigateur.
- Collez ou saisissez votre saisie, puis choisissez l'action dont vous avez besoin.
- Vérifiez le résultat et copiez-le en un clic.
Questions courantes
Vérifie-t-il la signature ?
Non, il décode uniquement le jeton. Ne traitez jamais les revendications décodées comme étant fiables sans vérifier la signature côté serveur.
Pourquoi mon token semble-t-il expiré ?
Vérifiez la réclamation d'exp par rapport à l'heure actuelle ; le décalage d'horloge entre les machines est une cause fréquente de jetons rejetés.
Est-il sécuritaire de coller des jetons de production ?
Préférez les jetons de test. Le décodage s'effectue localement, mais un jeton reste un identifiant une fois qu'il quitte votre presse-papiers.
Cet outil est-il vraiment gratuit ?
Oui. Il n'y a pas de compte, pas de paywall et pas de limite d'utilisation. Tools App est financé par aumenso, le studio derrière elle.
Est-ce que quelque chose que j'entre est téléchargé ?
Non. L'outil s'exécute dans l'onglet de votre navigateur ; ce que vous saisissez ne nous est jamais envoyé et n'est jamais stocké.