Décodeur JWT

Le JWT est défini par la RFC 7519 (mai 2015), qui suggère de le prononcer comme le mot anglais « jot ». La forme signée courante est composée de trois chaînes Base64url reliées par des points : header.payload.signature. L'en-tête (header) indique l'algorithme de signature dans alg, comme HS256 ou RS256, et souvent un identifiant de clé dans kid. Le payload contient des claims, des champs JSON tels que sub (l'utilisateur), iss (l'émetteur), aud (le destinataire prévu) et exp, nbf et iat, qui sont des dates exprimées en secondes depuis le 1er janvier 1970 UTC. Le décodeur convertit ces trois valeurs dans votre heure locale et en ISO 8601, et vous indique si le jeton a expiré, n'est pas encore valide ou se trouve dans sa période de validité.

Base64url est un encodage, pas un chiffrement : toute personne qui détient un jeton peut lire son payload, exactement comme le fait cette page. Ne placez jamais de mots de passe, de numéros de carte ou d'autres secrets dans les claims. Un jeton à cinq parties séparées par des points est un JWE, un jeton chiffré ; son contenu est illisible sans la clé, et le décodeur vous le signale. Un « Bearer » placé au début et copié depuis un en-tête Authorization est supprimé automatiquement.

La signature prouve que l'en-tête et le payload ont été produits par une personne détenant la clé et qu'ils n'ont pas été modifiés depuis. Pour la vérifier, il faut cette clé : le secret partagé pour les algorithmes HMAC comme HS256, ou la clé publique de l'émetteur pour RS256, ES256 ou EdDSA. Coller un secret de signature de production dans une page web est une mauvaise idée, et un décodeur qui prétendrait garantir un jeton sans clé donnerait une fausse impression de sécurité : cet outil affiche donc la signature sans la vérifier. Considérez ce que vous voyez comme une déclaration du jeton, pas comme un fait établi.

La vérification doit se faire sur votre serveur, avec une bibliothèque maintenue et l'algorithme attendu imposé. Deux erreurs historiques l'expliquent : accepter alg « none », ce qui permet à n'importe qui de forger un jeton non signé, et la confusion d'algorithme, où un serveur qui attend du RS256 est amené à vérifier une signature HS256 en utilisant la clé publique comme secret HMAC. Un décodeur sert au débogage : voir quels claims un fournisseur émet, repérer une audience incorrecte, ou comprendre qu'une session a échoué parce que exp est dépassé depuis une minute. Pour lire les segments Base64url bruts, utilisez le décodeur Base64.