Inspecteur JWT

Décoder un JWT signé en trois parties (JWS compact). En-tête et charge utile s’affichent ensemble ; les nombres et chaînes conservent leur écriture. Décoder ne vérifie pas la signature. L’exemple ne contient que des données publiques de démonstration.

Dans Signature, choisir l’algorithme attendu indépendamment du jeton et saisir la clé. HS256/384/512 : texte UTF-8 exact (espaces significatifs), base64url sans remplissage ou paires hexadécimales. RS256/384/512, PS256/384/512 et ES256/384/512 : clé publique SPKI BEGIN PUBLIC KEY PEM, pas de certificat ni de clé privée. RSA : au moins 2048 bits ; ECDSA : format JWT brut R||S. La robustesse du secret HMAC n’est pas évaluée.

Une correspondance concerne uniquement la signature et la clé choisie. Confiance envers l’émetteur, destinataire, claims requis, révocation et règles applicatives ne sont pas contrôlés. Jetons non signés, algorithmes différents et extensions JOSE critiques ne peuvent pas réussir. Aucune URL de clé ni clé embarquée n’est utilisée.

Dates séparées : exp est expiré à égalité, nbf actif à égalité ; iat futur est signalé. Valeurs non numériques ou hors plage signalées. Référence vide : instant courant au décodage ou avec Maintenant, sans mise à jour automatique. Saisie locale, sortie UTC ; calcul avec nombres JavaScript et dates à la milliseconde.

Limites : 262 144 caractères par jeton, 65 536 octets décodés par partie JSON, 65 536 caractères par clé. Base64url canonique sans remplissage, UTF-8 strict, objets JSON ; noms répétés refusés, profondeur maximale 128. Délai de cinq secondes et Annuler ignorent les résultats ; Web Crypto ne peut pas être interrompu. Modifier le jeton invalide le contenu ; modifier clé ou algorithme invalide la signature. Pas de JWE ni de charge détachée ou non encodée.

Aucun token ni clé enregistré dans les cookies ou le stockage du navigateur, aucun envoi. Le texte reste en mémoire lors des changements d’outil ; le champ de clé est vidé en quittant. Références : JWT, JWS, bonnes pratiques JWT.