JWT Debugger / Decoder
Décodez et inspectez un token JWT : header, payload, claims, expiration.
Décodage 100% local — votre token ne quitte pas le navigateur. La signature n'est pas vérifiée (pas de secret).
Collez un JWT ci-dessus pour le décoder instantanément
Questions fréquentes
Le décodage de JWT expose-t-il des données sensibles ?
La partie payload d'un JWT est uniquement encodée en Base64url, pas chiffrée. Cela signifie que n'importe qui avec le token peut lire son contenu. Ne jamais stocker de mots de passe ou de données ultra-sensibles dans un JWT — seulement des identifiants non-secrets. Utilisez JWE (JSON Web Encryption) si vous avez besoin de confidentialité.
Peut-on vérifier la signature avec cet outil ?
Non. La vérification de signature nécessite la clé secrète (HMAC) ou la clé publique (RSA/ECDSA). Fournir cette clé à un outil tiers serait une faille de sécurité majeure. La vérification doit se faire côté serveur via une librairie JWT (jsonwebtoken en Node.js, PyJWT en Python, etc.).
Qu'est-ce que le claim 'exp', 'iat' et 'nbf' ?
Ces claims standardisés (RFC 7519) sont des timestamps Unix : iat (issued at) = date d'émission, exp (expiration) = date d'expiration du token, nbf (not before) = date à partir de laquelle le token est valide. Cet outil les affiche automatiquement au format lisible.