Ajoutez votre fichier
Choisissez ou déposez un fichier .txt ou .jwt. Vous pouvez aussi coller le contenu.
Décodeur JWT : lire l'en-tête, le payload et l'expiration d'un jeton
Collez le jeton complet ou choisissez un fichier .txt ou .jwt : l'outil sépare les trois segments. L'en-tête et le payload sont décodés depuis Base64url, lus en UTF-8 strict et analysés en JSON strict, puis affichés tels quels pour être copiés ou téléchargés en .header.json et .payload.json. Les champs alg, typ, cty, kid, jku et x5u de l'en-tête ont chacun leur ligne. Les claims enregistrées iss, sub, aud, exp, nbf, iat et jti sont présentées comme claims standard ; exp, nbf et iat apparaissent en nombre brut et en date UTC, avec l'indication que le jeton est expiré ou pas encore valide selon l'horloge de votre appareil. Un tableau reprend toutes les claims avec leur valeur exacte, sans perte de précision sur les grands entiers. La signature est seulement contrôlée comme Base64url et mesurée en octets, jamais décodée en texte.
Types de fichiers: .txt, .jwtTraitement: Ce navigateur
ou déposez un fichier ici
✓ Reste sur cet appareilTaille maximale : 977 KB
Utiliser Décodeur JWT : lire l'en-tête, le payload et l'expiration d'un jeton
Laissez l’outil le lire
Le fichier est lu et analysé dans ce navigateur : rien n’est envoyé.
Vérifiez le résultat
Regardez ce qui ressort, puis copiez, téléchargez ou passez à la suite.
Vous voulez savoir ce que deviennent les fichiers ? Lire la politique de confidentialité →
Questions fréquentes
Comment décoder un JWT en ligne et lire son payload ?
Collez le jeton entier dans la zone de saisie ou choisissez un fichier .txt ou .jwt : le JSON de l'en-tête et du payload s'affiche aussitôt. Les espaces et retours à la ligne aux extrémités sont ignorés, et l'avertissement « signature non vérifiée » reste en tête des résultats.
Peut-on décoder un JWT sans l'envoyer à un serveur ?
Oui : le jeton est décodé dans l'onglet de votre navigateur et cet outil ne le transmet à aucun serveur. Si l'en-tête contient une URL jku ou x5u, elle est seulement affichée avec un avertissement ; aucune connexion n'est établie vers cette adresse.
Comment ouvrir un JWT sur Mac sans installer d'outil en ligne de commande ?
Ouvrez cette page dans Safari, Chrome ou Firefox sur Mac et collez le jeton ; ni Terminal, ni paquet, ni extension ne sont nécessaires. La même page fonctionne sous Windows, Linux et sur mobile ; copiez le jeton depuis les outils de développement du navigateur.
Pourquoi le décodeur JWT signale-t-il un nombre de segments incorrect ?
Un JWT signé doit compter exactement trois parties séparées par deux points ; un point manquant ou en trop déclenche cette erreur. Le plus souvent, la signature a été coupée lors du copier-coller ou deux jetons ont été collés ensemble. Cinq parties produisent un message distinct, propre au JWE.
Que signifie l'erreur JWT « payload JSON invalide » ?
Le payload a bien été décodé depuis Base64url, mais ce n'est pas du JSON strict : il est donc signalé en erreur au lieu d'être affiché comme texte. Apostrophes à la place des guillemets, virgule finale ou échappement incorrect en sont les causes habituelles. Un JSON valide mais en tableau donne un autre message.
Pourquoi un JWT copié avec « Bearer » est-il refusé pour caractère Base64url invalide ?
Le mot Bearer et l'espace qui le suit ne font pas partie de l'alphabet Base64url, donc le premier segment ne se décode pas. Le message indique la ligne et la colonne du caractère fautif : supprimez le préfixe, les guillemets ou le saut de ligne, puis recollez le jeton seul.
Quelle taille maximale de JWT et quel encodage le décodeur accepte-t-il ?
Jusqu'à 1 000 000 octets, en UTF-8 uniquement pour les fichiers, avec 64 niveaux d'imbrication JSON au maximum. La taille est contrôlée avant tout décodage. Un fichier enregistré en UTF-16 est refusé ; un BOM en début de fichier est retiré, mais pas un BOM caché dans un segment décodé.
JWT ou JWE : quelle différence, et peut-on décoder un jeton JWE chiffré ?
Un JWE ne peut pas être décodé ici : seuls les jetons signés à trois parties (JWS) sont lus, les JWE à cinq parties sont refusés avec un message dédié. Le payload d'un JWS est simplement encodé et lisible par tous ; celui d'un JWE est chiffré et exige la clé de déchiffrement appropriée.
Le décodeur JWT vérifie-t-il la signature et prouve-t-il que le jeton est authentique ?
Non. L'outil ne vérifie jamais la signature et n'accepte aucune clé : un jeton bien décodé ne prouve rien sur son origine. N'importe qui peut fabriquer un JWT qui se décode parfaitement ; seule l'application qui détient la clé peut décider de lui faire confiance.
Un JWT avec alg none est-il une faille de sécurité ?
Oui dès qu'un serveur l'accepte : alg none déclare le jeton non signé, ce qui permet de forger n'importe quelle identité. Le décodeur affiche une alerte critique pour none, quelle que soit la casse, afin que vous l'excluiez explicitement de votre validation.
Comment lire la date d'expiration exp d'un JWT et savoir s'il est expiré ?
La date exp s'affiche en UTC à côté du nombre brut, et le statut expiré est calculé avec l'horloge de votre appareil ; iat et nbf sont convertis de la même façon. Une horloge fausse donne un verdict faux. Sans exp, l'absence est signalée au lieu de supposer le jeton valide.