Comment décoder un JWT
- Collez le jeton, avec ou sans le mot Bearer.
- Lisez l'en-tête et le payload décodés.
- Vérifiez les dates d'émission et d'expiration dans votre fuseau.
Structure d'un JWT
Un jeton s'écrit header.payload.signature. En-tête et payload sont du JSON encodé en Base64URL ; la signature est calculée avec un secret (HS256) ou une clé privée (RS256, ES256).
Déboguer l'authentification
Le décodage montre si le jeton a expiré, pour quelle audience (aud) et quel émetteur (iss) il a été créé, et ses rôles ou scopes – causes habituelles des erreurs 401 et 403.
Pas de secrets dans un jeton
Quiconque possède un JWT peut lire son payload : n'y mettez ni mots de passe ni données personnelles. Gardez des jetons de courte durée, stockés hors de portée des scripts tiers.
Questions fréquentes
Est-ce sûr de coller mon jeton ici ?
Le décodage se fait entièrement dans le navigateur, rien n'est envoyé ni stocké. Traitez tout de même les jetons de production comme des mots de passe.
Que contient un JWT ?
Un en-tête avec l'algorithme de signature, un payload avec des claims comme l'identifiant utilisateur et les dates, et une signature. En-tête et payload sont seulement encodés en Base64URL, pas chiffrés.
Que signifient iat, nbf et exp ?
Date d'émission, date de début de validité et date d'expiration, chacune en timestamp Unix en secondes.