Décodeur JWT local
Collez un JWT pour lire son en-tête et ses claims en JSON mis en forme ; la signature n’est pas vérifiée, donc ce n’est pas une preuve de confiance.
- Fonctionne dans votre navigateur
- Aucun envoi
- Le résultat reste sur votre appareil
Confidentialité et limitesS’exécute dans votre navigateur. Rien n’est envoyé.
Le contenu des entrées reste dans cet onglet ; Refentra ne l’envoie ni ne le stocke. Les comptages agrégés facultatifs d’actions sont envoyés uniquement avec votre consentement à la mesure d’usage. Effacez l’espace après usage.
Profil pris en charge: En-tête et claims JWT seuls. Signature, émetteur et audience NON vérifiés.
Maximum 200 000 unités UTF-16 ; les parseurs peuvent limiter davantage. Worker : 15 secondes (regex 1,5 seconde).
Vérifier la saisie et le résultat
- Préparer et choisir l’opération
Collez un JWT en trois parties et examinez l’en-tête, la charge utile et les dates, sans considérer comme fiables les données décodées.
- Vérifier un exemple concret
Essayez cet exemple et comparez le résultat indiqué : eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0In0.signature → header {"alg":"HS256"}, payload {"sub":"test"}
- Examiner avant de réutiliser la sortie
Comparez exp et nbf à l’horloge actuelle. Décoder un jeton ne prouve jamais ni son émetteur ni une autorisation.
Réponses pour cette tâche
La signature est-elle vérifiée ?
Non. L’en-tête et la charge utile sont simplement décodés depuis le base64url ; une personne malveillante peut forger les deux, même si les revendications affichées semblent plausibles.
Que vérifier si la saisie échoue ?
Retirez le texte Bearer qui précède, le cas échéant, conservez les deux points séparateurs et vérifiez que les deux premiers segments sont du JSON base64url valide.
Quelles sont les limites de cet outil ?
L’outil n’authentifie pas les utilisateurs, ne vérifie pas les clés cryptographiques, ne contacte pas les émetteurs et n’applique ni l’audience ni les règles de votre application.