Comment ça marche
Un JSON Web Token comprend trois parties Base64URL séparées par des points : l'en-tête, la charge utile et la signature. Le décodage lit seulement les deux premières, donc il marche hors ligne et ne prouve jamais qui a émis le jeton. Seul un contrôle de signature avec la clé de l'émetteur prouve l'authenticité, et un jeton expiré doit être rejeté même avec une signature valide.
header.payload.signature → JSON + dates + contrôle de signature
Quelle clé utiliser
- HS256 / HS384 / HS512 : collez le texte du secret partagé. Quiconque le détient peut signer et vérifier.
- RS256–RS512 / PS256–PS512 : collez la clé publique en PEM (SPKI) ou JWK. La clé privée reste chez l'émetteur.
- ES256 / ES384 / ES512 : collez la clé publique EC en PEM ou JWK ; la signature brute R‖S du jeton est convertie automatiquement.
- EdDSA : collez la clé publique de 32 octets en Base64URL ou hexadécimal.
- none : aucune signature. De tels jetons ne doivent jamais inspirer confiance.
Astuces
- exp, iat et nbf s'affichent comme des dates, avec si chacune est déjà passée.
- Coller ici un vrai jeton d'accès ne craint rien côté réseau, mais quiconque détient le jeton peut l'utiliser — préférez des jetons de test courts.
- Tout tourne dans votre navigateur ; rien n'est envoyé.
Normes et sources
- JSON Web Token (JWT) : RFC 7519 ; signatures JWS : RFC 7515
- Algorithmes (HS/RS/PS/ES) : RFC 7518 ; EdDSA : RFC 8032
- Base64URL : RFC 4648
Dernière vérification 12 octobre 2026
Questions fréquentes
Que prouve le décodage ?
Rien sur l'authenticité. Le décodage lit seulement l'en-tête et la charge utile, que n'importe qui peut falsifier. Seul un contrôle de signature avec la clé de l'émetteur prouve que le jeton est authentique.
Quels algorithmes peuvent être vérifiés ?
HMAC (HS256/384/512) avec le secret partagé, RSA (RS/PS) et ECDSA (ES256/384/512) avec une clé publique PEM ou JWK, et EdDSA (Ed25519) avec la clé publique brute. Les jetons avec alg none n'ont aucune signature et ne doivent jamais être acceptés.
Pourquoi le serveur rejette-t-il mon jeton valide ?
Les raisons habituelles sont une expiration exp dépassée, une audience ou un émetteur incorrect, ou un décalage d'horloge entre le signataire et le serveur. Cette page affiche chaque date pour repérer laquelle échoue.
Est-il sûr de coller un vrai jeton ici ?
La page fonctionne entièrement hors ligne et n'envoie rien nulle part, mais toute personne détenant le jeton peut l'utiliser jusqu'à son expiration. Préférez des jetons de test à courte durée plutôt que des jetons de production.