Décodeur JWT

Mode d’emploi

Collez un jeton avec deux ou trois segments séparés par des points. Décoder affiche l’en-tête JSON, la charge utile JSON et le segment brut de la signature. La ligne d’état indique que la signature n’a pas été vérifiée.

Exemple

Le jeton d’exemple se décode en en-tête et charge utile. signature_verified reste false.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzQyIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJlZGl0b3IifQ.not-a-verified-signature

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "user_42",
    "name": "Ada Lovelace",
    "role": "editor"
  },
  "signature": "not-a-verified-signature",
  "signature_verified": false
}

Fonctionnement

Chaque segment est Base64URL. Le premier doit être un objet JSON. Le second doit être du JSON. Le troisième segment est affiché et n’est pas vérifié contre un secret ou une clé publique. Un alg none est signalé comme non authentifié.

Erreurs courantes

• L’en-tête n’est pas un objet Le premier segment a été décodé, mais ce n’était pas un objet JSON.
• Il n’y a pas deux ou trois segments Un JWT compact utilise des points comme séparateurs. Des points en trop signifient souvent un jeton tronqué ou collé deux fois.
• Vous attendiez Valid Cette page ne déclare pas un jeton valide. Vérifier une signature nécessite une clé et est une autre opération.

Limites

Expiration, issuer et audience sont affichés s’ils sont présents. Ils ne sont pas traités comme réussite ou échec. Le décodeur ne stocke pas le jeton.

Confidentialité

Le jeton est décodé localement. Ne collez pas un jeton d’accès actif si l’appareil est partagé. PepsTools n’envoie pas le jeton à un serveur.

Questions

Puis-je utiliser le résultat pour autoriser une requête ?

Non. L’autorisation exige une signature vérifiée et des contrôles de claims. Cet outil ne fait que décoder.