Lisez l’en-tête et les données du JWT

Les développeurs utilisent Lecteur JWT pour lire des paramètres ou des données de jeton avant de diagnostiquer une requête.

Lisez l’en-tête et les données du JWT, pour examiner rapidement les valeurs utiles au débogage. Utilisez-le sans compte dans votre navigateur.

Mode d’emploi

Copiez le jeton JWT à examiner, en conservant les trois parties séparées par des points.
Collez-le dans la zone d'entrée ou importez un fichier texte qui contient ce jeton.
Lancez le décodage pour afficher l'en-tête et la charge utile sous une forme lisible.
Repérez les champs utiles au diagnostic, comme l'algorithme indiqué, la date d'expiration ou l'identifiant utilisateur.
Comparez ces valeurs avec celles attendues par votre application avant de conclure à un problème d'authentification.

Exemple

L'exemple contient un jeton de démonstration avec un identifiant, un rôle et une date d'émission. Après décodage, vérifiez que ces champs apparaissent dans la charge utile et que l'en-tête indique bien le type de jeton attendu.

Limites et formats

Le décodage ne vérifie pas la signature et ne prouve pas qu'un jeton est authentique.
Un jeton expiré peut encore être décodé ; l'outil affiche son contenu mais ne décide pas s'il doit être accepté.
Les données affichées restent lisibles par toute personne qui possède le jeton, car un JWT n'est pas chiffré.
L'import accepte plusieurs formats texte, mais le contenu doit être une chaîne JWT valide pour donner un résultat utile.
Ne publiez pas un jeton réel dans un outil ou un écran partagé, même si le traitement est local.

Où le traitement a lieu

Le décodage s'exécute dans votre navigateur. Le jeton que vous collez ou importez reste sur votre appareil et n'est transmis nulle part ailleurs. Vous pouvez donc inspecter rapidement un jeton de test, mais évitez d'utiliser des jetons de production contenant des informations sensibles.

Questions fréquentes

L'outil vérifie-t-il que le jeton est valide ?

Non. Il lit le contenu de l'en-tête et de la charge utile, mais il ne contrôle pas la signature. La validation doit être faite par votre application avec la clé ou le mécanisme prévu.

Puis-je décoder un jeton expiré ?

Oui, le contenu reste lisible même si la date d'expiration est dépassée. Le décodage ne remplace pas un contrôle d'expiration effectué par votre application.

Pourquoi je ne vois pas certaines valeurs ?

Vérifiez d'abord que le texte collé est bien un JWT complet et que ses parties ne sont pas tronquées. Si le jeton est valide, cherchez les champs dans la charge utile plutôt que dans l'en-tête.