Décodeur de jeton JWT

Non, en général. Un JWT signé (JWS, le cas courant) est seulement encodé en base64url : tout le monde peut lire son contenu, comme le montre cet outil. La signature empêche de le modifier, pas de le lire. N’y mettez donc jamais de mot de passe ni de donnée sensible. Les jetons chiffrés (JWE) ont cinq parties et ne se lisent pas sans clé.

Regardez la revendication exp : c’est la date d’expiration, en secondes depuis le 1er janvier 1970. L’outil la convertit en date lisible et dit combien de temps il reste, ou depuis quand le jeton a expiré. S’il n’y a pas de exp, le jeton n’expire jamais de lui-même, ce qui est déconseillé.

HopCalc n’envoie ni ne garde le jeton : il est décodé dans votre navigateur. Mais un jeton de production encore valable donne accès au compte de son titulaire à qui le détient : évitez de le coller dans un outil en ligne, quel qu’il soit, et préférez un jeton de test ou expiré. En cas de doute, révoquez-le.

jwt.io décode aussi le jeton dans le navigateur et peut vérifier la signature si vous lui donnez la clé. Cet outil se limite au décodage, mais affiche les dates en français à l’heure de votre appareil, explique chaque revendication et dit en clair si le jeton est expiré. Pour vérifier une signature, utilisez la bibliothèque JWT de votre langage, côté serveur.