Fonctionnement
Un JWT se compose de trois parties en base64url séparées par des points : en-tête (algorithme), payload (claims) et signature. Le décodage ne nécessite aucune clé : quiconque détient le jeton peut le lire. Ne placez jamais de secrets dans un payload.
Les claims temporels (iat date d’émission, nbf pas avant, exp expiration) sont en secondes Unix ; l’outil les affiche sous forme de dates avec un compte à rebours « expire dans… » en direct.
Vérification
La vérification utilise l’API Web Crypto du navigateur :
| alg | Clé à coller |
|---|---|
| HS256 / HS384 / HS512 | le secret partagé |
| RS256…512, PS256…512 | clé publique RSA, en JWK ou PEM (BEGIN PUBLIC KEY) |
| ES256 / ES384 / ES512 | clé publique EC (P-256/P-384/P-521), en JWK ou PEM |
Confidentialité
Les jetons sont des identifiants. Cette page n’écrit jamais le jeton ni la clé dans l’URL ou le stockage, et la politique de sécurité du site bloque les requêtes réseau : rien ne quitte votre navigateur.