Comment décoder un JWT
- 1Collez le jeton. Un « Bearer » en tête est retiré automatiquement.
- 2Lisez l’en-tête et le payload en JSON formaté.
- 3Consultez les claims temporels pour savoir si le jeton a expiré ou n’est pas encore valide.
Comment un JWT est construit
Un JWT est composé de trois chaînes Base64url reliées par des points. L’en-tête et le payload sont du JSON ; la signature est binaire et ne peut être vérifiée qu’avec la clé de l’émetteur.
Claims enregistrés
issÉmetteur : qui a créé le jetonsubSujet : généralement l’ID de l’utilisateuraudAudience : le service auquel le jeton est destinéexpDate d’expiration, en secondes depuis 1970nbfPas avant : le jeton est invalide avant cette dateiatDate d’émissionjtiJWT ID : identifiant unique du jetonQuestions fréquentes
Puis-je coller un vrai jeton ici sans risque ?
Le jeton est décodé dans votre navigateur et n’est envoyé nulle part. Traitez malgré tout les jetons actifs comme des mots de passe et évitez de les coller dans des outils auxquels vous ne faites pas confiance.
Pourquoi la signature n’est-elle pas vérifiée ?
La vérification nécessite le secret ou la clé publique de l’émetteur. Le décodage montre seulement ce que le jeton affirme ; ne faites jamais confiance à ces claims côté serveur sans vérifier la signature.
Un JWT est-il chiffré ?
Un JWT signé standard ne l’est pas. Toute personne qui possède le jeton peut lire son payload, qui n’est que du JSON encodé en Base64url. N’y mettez pas de secrets.
Dans quel fuseau horaire sont les dates ?
Le fuseau horaire local de votre appareil. Les valeurs brutes du payload sont des timestamps Unix en secondes UTC.