Ne collez pas de jeton ni de secret de production : même si rien n'est envoyé, un jeton valide donne un accès. Utilisez des jetons de test.
floobits.com
floobits.com
🌐 Web et technique
Collez un jeton JWT pour lire son en-tête, ses revendications, ses dates et son état d'expiration, localement.
Par Jimenez Julien, éditeur de Floobits.com · mis à jour le
Ne collez pas de jeton ni de secret de production : même si rien n'est envoyé, un jeton valide donne un accès. Utilisez des jetons de test.
Un JSON Web Token (JWT, RFC 7519) est un jeton compact utilisé pour transmettre des informations d'identité et d'autorisation entre un client et un serveur. Il se compose de trois parties encodées en Base64 URL et séparées par des points : l'en-tête, qui précise l'algorithme de signature, la charge utile, qui contient les revendications (claims), et la signature.
Cet outil lit les deux premières parties et les affiche en JSON indenté. Les revendications standard sont expliquées : émetteur (iss), sujet (sub), audience (aud), date d'expiration (exp), date de début de validité (nbf) et date d'émission (iat). Ces dates sont des horodatages Unix ; elles sont converties en heure de Paris, en UTC et comparées à l'heure actuelle pour indiquer si le jeton est expiré ou pas encore valide.
Si vous fournissez le secret, la signature des jetons HS256, HS384 et HS512 est recalculée et comparée à celle du jeton. Rappelons que le contenu d'un JWT signé n'est pas chiffré : n'importe qui peut le lire, il ne faut donc y placer aucune donnée confidentielle.
Non, un JWT classique est seulement signé. Sa charge utile est lisible par quiconque le possède, comme le montre cet outil. Seule la signature garantit que le contenu n'a pas été modifié.
Non. Le décodage et la vérification s'effectuent dans votre navigateur. Évitez malgré tout de coller des jetons de production actifs sur n'importe quel site.
C'est la date d'expiration du jeton, en secondes depuis le 1er janvier 1970 UTC. Après cet instant, un serveur correctement configuré doit refuser le jeton.
Ces algorithmes utilisent un secret partagé simple à saisir. Les algorithmes RS256 ou ES256 demandent une clé publique au format PEM ou JWK, non gérée ici.