Collez un JWT pour voir son en-tête et ses claims. Les dates d'expiration et d'émission sont converties en dates lisibles et les claims enregistrés sont expliqués. Le jeton reste dans votre navigateur.
Tout se passe dans votre navigateur. Cette page est un fichier statique. Ce que vous saisissez reste dans l'onglet, n'est jamais envoyé à un serveur et disparaît à la fermeture — coller un vrai jeton ou une vraie configuration ne présente donc aucun risque.
En-tête, charge utile et signature, séparés par des points.
exp compte des secondes depuis l'époque Unix, pas des millisecondes. Une valeur en millisecondes atterrit en l'an 55000 : c'est un bug fréquent.
Les bibliothèques qui honorent alg: none acceptent des jetons forgés. Fixez toujours l'algorithme attendu côté serveur.
Un JWT est signé, pas chiffré. Quiconque détient le jeton peut lire tous les claims, exactement comme le fait cette page. N'y mettez jamais rien de confidentiel.
Décoder ne prouve rien sur l'authenticité. Un jeton peut être parfaitement lisible et totalement forgé ; seule la vérification de signature sur votre serveur tranche.
Si un jeton expire « immédiatement », comparez le claim iat à l'horloge de votre serveur. Quelques minutes d'écart entre machines suffisent à rejeter des jetons pourtant valides.
Non. La page est statique et le décodage se fait dans votre navigateur avec un décodage Base64 et une analyse JSON. Rien n'est journalisé ni transmis, ce que vous pouvez confirmer dans le panneau réseau.
La vérification requiert le secret de signature ou la clé publique de l'émetteur. Coller un secret de signature de production dans une page web serait une habitude bien pire que la commodité qu'elle apporte.
exp est le moment où le jeton cesse d'être accepté ; nbf celui où il commence à l'être. Un jeton émis à l'avance peut avoir un nbf dans le futur et sera rejeté jusque-là.