Decodeur JWT
Collez un JSON Web Token et lisez son en-tete, son payload et ses claims standards, avec un avertissement expire ou pas encore valide quand le jeton en porte un.
Jeton
La coloration syntaxique est desactivee pour ce document, car recolorer un texte aussi long a chaque frappe ralentirait la saisie. Tous les outils continuent de fonctionner normalement.
Ceci decode le jeton. Cela ne verifie pas la signature. Un jeton peut etre parfaitement bien forme et completement falsifie en meme temps; seul le verifier contre la vraie cle avec laquelle il a ete signe peut faire la difference, et cette page n en demande jamais une.
En-tete
La coloration syntaxique est desactivee pour ce document, car recolorer un texte aussi long a chaque frappe ralentirait la saisie. Tous les outils continuent de fonctionner normalement.
Le JSON decode apparait ici.
Claims
Les claims decodes apparaissent ici.
Payload
La coloration syntaxique est desactivee pour ce document, car recolorer un texte aussi long a chaque frappe ralentirait la saisie. Tous les outils continuent de fonctionner normalement.
Le JSON decode apparait ici.
Signature
Montree exactement telle qu ecrite. C est une sortie cryptographique, pas du texte, alors il n y a rien a decoder.
Tout fonctionne dans votre navigateur. Rien de ce que vous collez n est envoye, et vous pouvez le verifier dans l onglet Reseau de votre navigateur.
A propos de cet outil
Un JSON Web Token est compose de trois parties encodees en base64url reliees par des points, un en-tete, un payload et une signature. L en-tete et le payload sont eux-memes du JSON une fois decodes, alors cette page decode chacun avec le meme decodeur base64url que l outil JSON vers Base64 utilise deja, l alphabet sur pour les URL et le remplissage absent tous deux geres, et indique lequel des deux a echoue si l un ne se decode pas proprement ou ne s avere pas etre un objet JSON. La signature est montree exactement telle qu ecrite et jamais decodee plus loin, puisque c est une sortie cryptographique plutot que du texte et qu il n y a rien de lisible a l interieur a montrer. Sept claims enregistres du payload obtiennent leur propre ligne quand le jeton les porte: issuer, subject, audience, issued-at, not-before, expiration et un JWT ID, les trois bases sur le temps etant lus comme les dates qu ils sont vraiment plutot que laisses en nombres bruts. Un jeton dont l expiration est passee, ou dont l heure not-before n est pas encore arrivee, est marque comme tel clairement plutot que laisse a vous de deduire a partir des nombres bruts. Ce que cette page ne fait pas, expres, c est verifier la signature contre quoi que ce soit: le faire honnetement necessite le vrai secret ou la cle publique avec laquelle le jeton a ete signe, que cette page ne demande jamais, et un decodeur qui laisserait entendre une confiance qu il ne peut pas justifier serait pire qu un decodeur qui ne dit rien. Un jeton peut etre parfaitement bien forme, se decoder proprement ici, et etre quand meme falsifie ou modifie, et seule une vraie verification de signature, un outil distinct, peut faire la difference.
Comment ca marche
- Collez un JSON Web Token. Ce sont les trois parties separees par des points que la plupart des API vous remettent comme une seule chaine.
- L en-tete, le payload et les claims standards se decodent pendant que vous tapez. Rien de tout cela n est envoye nulle part; tout se passe dans votre navigateur.
- Verifiez le panneau Claims pour un avertissement expire ou pas encore valide, et rappelez-vous: ceci decode le jeton, cela ne le verifie pas.