IQ
PayloadIQ
Utilitaires PayloadIQ

Décodeur JWT

Colle un token et lis instantanément son header et son payload. Tout se passe en local, dans ton navigateur — aucune donnée n'est envoyée.

La signature n'est jamais vérifiée ici. Un JWT décodé n'est pas un JWT de confiance — vérifie toujours la signature côté serveur avec ton secret ou ta clé publique avant de te fier à un claim.

S'exécute dans ton navigateur. Ce que tu saisis n'est pas envoyé à PayloadIQ.

Cet outil décode le header et le payload d'un JWT directement dans ton navigateur, sans rien envoyer à un serveur. Colle ton token et tu vois aussitôt l'algorithme de signature, l'ensemble des claims, et les dates iat et exp converties en format lisible. Le décodage se fait entièrement côté client : la signature reste intacte et ton token ne quitte jamais ta machine.

Comment ça marche

Un JWT, c'est trois segments encodés en Base64URL séparés par des points : le header, le payload des claims, et la signature. L'outil découpe le token sur ces points et décode les deux premiers segments pour t'afficher l'algorithme, les champs du payload et les timestamps iat, nbf et exp en dates lisibles. Tout ce travail tourne en JavaScript dans ton onglet — pas d'appel réseau, pas de latence, et la signature n'est ni lue ni modifiée.

Décoder n'est pas vérifier

À retenir absolument : décoder un JWT ne revient pas à le valider. N'importe qui peut lire le payload d'un token, et le statut exp affiché ici est purement indicatif. C'est parfait pour déboguer une session, inspecter les claims renvoyés par ton API ou comprendre pourquoi un token est refusé, mais ne te fie jamais à ces données sans vérifier la signature côté serveur avec ta clé secrète ou ta clé publique. Comme tout se passe en local, tu peux aussi coller sans crainte des tokens de production ou de staging.

Questions fréquentes

Mon token est-il envoyé à un serveur ?
Non. Le décodage se fait entièrement dans ton navigateur, en JavaScript. Ton JWT ne quitte jamais ta machine et aucune donnée n'est uploadée, ce qui te permet de coller même des tokens de production en toute sécurité.
L'outil vérifie-t-il la signature du JWT ?
Non, et c'est volontaire. Vérifier une signature demande la clé secrète ou la clé publique, ce qui doit rester côté serveur. L'outil se contente de décoder le header et le payload ; valide toujours la signature dans ton backend avant de faire confiance aux claims.
Comment savoir si mon JWT est expiré ?
L'outil lit le claim exp et te le convertit en date lisible, avec une indication d'expiration. Ce statut reste purement informatif : l'expiration réelle est tranchée par ton serveur au moment de la validation.
Quels claims sont affichés ?
Tous ceux présents dans le payload : les claims standards comme iss, sub, aud, iat, nbf et exp, ainsi que tous tes claims personnalisés. Le header est décodé à part pour te montrer l'algorithme (alg) et le type (typ).

Utilitaires associés

Formateur / Validateur JSONMinificateur JSONComparateur JSONJSON en CSV
Ouvrir le PayloadIQ Playground