Décodeur JWT

Qu'est-ce qu'un JWT (JSON Web Token) ?

Un JSON Web Token (JWT) est un format de token compact et sûr pour les URL, défini dans la RFC 7519. Il encode un ensemble de claims sous forme d'objet JSON, puis le signe — et éventuellement le chiffre — afin que le destinataire puisse vérifier que les données n'ont pas été altérées. Les JWT sont le standard de facto pour l'authentification sans état dans les REST APIs, les systèmes d'authentification unique et l'autorisation de microservices.

Anatomie d'un JWT : En-tête · Payload · Signature

Tout JWT est composé de trois segments encodés en base64url séparés par des points. L'en-tête et le payload sont du JSON brut — lisibles par n'importe qui — tandis que la signature est une valeur cryptographique qui ne peut être vérifiée qu'avec la bonne clé.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Pourquoi utiliser un décodeur JWT ?

Les JWT bruts ressemblent à du texte aléatoire. Cet outil affiche instantanément l'en-tête et le payload sous forme de JSON formaté pour inspecter les claims, vérifier les dates d'expiration et auditer les choix d'algorithmes sans écrire une seule ligne de code.

Référence des claims JWT standard

La RFC 7519 définit sept noms de claims enregistrés. Ils ne sont pas obligatoires, mais leur utilisation est fortement recommandée pour l'interopérabilité. Vous pouvez ajouter n'importe quel claim personnalisé au payload.

Algorithmes de signature JWT

Le claim d'en-tête alg déclare quel algorithme a signé le token. Le choix affecte la sécurité, les performances et la capacité des services tiers à vérifier les tokens sans la clé privée.

Considérations de sécurité

Décoder un JWT est toujours sûr. Faire confiance à un JWT sans vérification appropriée de la signature ne l'est pas. Gardez ces règles à l'esprit chaque fois que vous consommez des tokens dans votre application.

Cas d'usage courants

Décoder un JWT en code

L'en-tête et le payload sont encodés en base64url — il suffit d'inverser l'encodage. Base64url remplace + par - et / par _, et omet le rembourrage =. Seule la signature nécessite la clé secrète.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Questions fréquentes