Décodage JWT

En débogage de session, il faut voir exp, role ou sub, sans coller le Token sur un site inconnu.

Collez un Bearer Token ou un JWT nu, « Décoder le JWT » : Header et Payload à droite.

Décodage seulement : pas de vérif de signature, pas de preuve de validité. En prod, restez sur les clés de votre serveur.

Le Token ne quitte pas ce navigateur. Videz le champ après usage.

N'importe qui peut lire le Payload d'un JWT non chiffré. Ici on lit les claims, on ne prouve pas qu'ils n'ont pas été altérés.

Rien n'est envoyé, mais la personne suivante peut encore voir le navigateur. Ne collez pas une clé durable sur un appareil public.

Comment faire

Voir quand un access token expire.
Vérifier que le claim de rôle correspond à la passerelle.
Comparer les Payload de deux environnements (copier puis Diff).
« Le front envoie le Token, le back dit invalide » : d'abord vérifier que ce n'est pas le mauvais.

La signature est-elle vérifiée ?

Non. Décodage Base64 seulement, pour lire les claims.

Un token expiré se lit-il encore ?

Oui. Accepter ou refuser la requête reste à votre passerelle ou backend.

Un JWT chiffré se décode-t-il ?

Un Token JWE chiffré, non. Cette page vise le JWS classique en trois parties.

Le Token est-il envoyé ?

Non. Évitez quand même de coller une clé durable sur un poste partagé.

Faut-il retirer Bearer ?

Non. Avec préfixe, ça se parse aussi.

Peut-on modifier le Payload et réencoder ?

Cette page ne fait que décoder. Resignature = clé côté serveur.

C'est quoi le kid du header ?

Souvent pour choisir la clé publique de vérif. Ici on l'affiche seulement, sans aller chercher un JWKS.

Comment l'utiliser avec la mise en forme ?

Le résultat est du JSON : copiez-le vers mise en forme ou Diff.