Qu’est-ce qu’un JWT ?
Un JSON Web Token (JWT) est un jeton texte utilisé par les applications web et les API pour prouver l’identité d’un utilisateur après connexion. Il comporte trois parties séparées par des points : l’en-tête (algorithme), la charge utile (identifiant, expiration…) et la signature, qui empêche toute modification des deux premières.
Point souvent ignoré : l’en-tête et la charge utile sont encodés, pas chiffrés. Quiconque détient le jeton peut les lire — c’est ce que fait cet outil.
Mode d’emploi
- Collez le jeton (avec ou sans « Bearer »).
- L’en-tête et la charge utile s’affichent en JSON formaté.
- Les dates (exp, iat, nbf) sont converties en dates lisibles avec le temps restant ou écoulé.
- Consultez les remarques de sécurité : alg none, absence d’expiration, durée trop longue, données sensibles.
Revendications standard
| Champ | Signification |
|---|---|
iss | émetteur du jeton |
sub | sujet (souvent l’identifiant utilisateur) |
aud | application destinataire |
exp / nbf / iat | expiration / pas avant / émis le (secondes depuis 1970) |
Bonnes pratiques pour les développeurs
- Vérifiez toujours la signature côté serveur et limitez les algorithmes acceptés ; ne faites pas confiance au champ alg du jeton.
- Gardez des jetons d’accès de courte durée et utilisez des jetons de rafraîchissement.
- Ne mettez ni mot de passe, ni données de carte, ni secret dans la charge utile.
- Traitez un jeton comme un mot de passe : ne le publiez pas.
Le décodage se fait dans votre navigateur ; le jeton n’est jamais envoyé. Pour les signatures HMAC, utilisez le générateur de hash.