Décodeur et Vérificateur JWT

RFC 7519 / 7518 · s'exécute dans votre navigateur

Ce qui est vérifié

Après décodage de l'en-tête et de la charge utile, cette page vérifie la signature contre une clé que vous fournissez. La signature est calculée sur les octets exacts de base64url(header)+"."+base64url(payload) et comparée au troisième segment selon l'algorithme déclaré dans l'en-tête.

This page handles every standard JWT signing family:

• HS256/HS384/HS512 — signatures symétriques (HMAC), vérifiées avec le secret partagé.
• RS256/RS384/RS512 — signatures RSA-PKCS#1 v1.5, vérifiées avec la clé publique RSA de l'émetteur (PEM SPKI).
• PS256/PS384/PS512 — signatures RSA-PSS, vérifiées avec la même forme de clé publique RSA.
• ES256/ES384/ES512 — signatures ECDSA sur P-256 / P-384 / P-521, vérifiées avec la clé publique EC correspondante.

Réclamations de temps

Trois revendications de temps standards sont interprétées automatiquement:

• iat (émis à) — quand le jeton a été frappé.
• nbf (pas avant) — le moment le plus tôt où le jeton est valide.
• exp (expire à) — le moment le plus tard où le jeton est valide.

Cas d'utilisation courants

• Décoder un jeton opaque <code>Authorization: Bearer …</code> pour voir exactement quelles revendications votre client envoie ou votre serveur reçoit.
• Confirmer la signature d'un ID Token OIDC contre la clé publique de l'émetteur avant de faire confiance aux revendications.
• Vérifier qu'un JWT de service interne a été signé avec le secret partagé attendu.
• Vérifier qu'un jeton censé expirer est bel et bien rejeté — collez-le ici et comparez au compte à rebours <code>exp</code> en direct.

Confidentialité

Les jetons, secrets et clés que vous collez ne sont traités que dans votre navigateur. Il n'y a pas d'aller-retour réseau; la clé de vérification n'est conservée en mémoire que tant que la page est ouverte et n'est jamais stockée ou journalisée.