Ce que fait cet outil
Un JSON Web Token (JWT) est composé de trois parties séparées par des points : un header décrivant l'algorithme utilisé, un payload contenant les données (identité de l'utilisateur, permissions, date d'expiration...), et une signature qui garantit que les deux premières parties n'ont pas été modifiées depuis leur émission.
Cet outil décode le header et le payload pour les afficher en JSON lisible, et peut vérifier la signature si vous disposez du secret (HS256) ou de la clé publique (RS256) correspondante — le tout sans jamais quitter votre navigateur.
Décoder n'est pas authentifier
Le header et le payload d'un JWT sont simplement encodés en base64url, pas chiffrés : n'importe qui peut les lire, y compris sans connaître le secret de signature. C'est un point souvent mal compris — décoder un token pour en lire le contenu ne dit rien sur son authenticité. Seule la vérification de la signature, avec la bonne clé, confirme que le token a réellement été émis par le service attendu et n'a pas été modifié depuis.
HS256 contre RS256
HS256 utilise un secret partagé unique : la même valeur sert à signer et à vérifier, ce qui signifie que toute partie capable de vérifier un token est aussi capable d'en émettre de nouveaux. RS256 utilise une paire de clés asymétrique : la clé privée signe, la clé publique vérifie — un service tiers peut donc vérifier des tokens sans jamais pouvoir en émettre. C'est pourquoi RS256 est privilégié dès que plusieurs services doivent vérifier des tokens émis par une seule autorité centrale.
Les dates du payload
Trois champs standard apparaissent dans la plupart des JWT : iat (issued at, date d'émission), exp (expiration, date au-delà de laquelle le token doit être rejeté) et nbf (not before, date avant laquelle il ne doit pas être accepté). Ce sont de simples timestamps Unix dans le payload brut — cet outil les convertit automatiquement en dates lisibles et signale si le token est expiré.