Décodeur JWT
Collez un JSON Web Token et lisez ce qu'il contient. Le décodage se fait dans cette page, dans votre navigateur.
Votre jeton
Cette page décode le jeton et s'arrête là. Elle ne vérifie pas la signature, elle ne peut donc pas vous dire si le service nommé dans le jeton l'a réellement émis.
Claims enregistrés
Cela fonctionne dans votre navigateur. Rien de ce que vous collez ou ouvrez ne nous est envoyé.
Ce que contiennent les trois parties
Un JSON Web Token, ce sont trois parties en base64url reliées par des points. La première est l'en-tête, qui nomme l'algorithme de signature dans alg et le type de jeton dans typ. La deuxième est la charge utile, un objet JSON de claims : iss pour celui qui a émis le jeton, sub pour ce dont il parle, aud pour celui qui est censé l'accepter, et iat, nbf et exp en secondes depuis 1970. La troisième est la signature, qui est faite d'octets et non de texte, et qui ne se décode en rien de lisible. Seuls les claims enregistrés ont ici une ligne à eux. Tout le reste de la charge utile se trouve au-dessus, dans le bloc correspondant, tel qu'il a été écrit.
Décoder n'est pas vérifier
L'en-tête et la charge utile sont encodés, pas chiffrés, donc quiconque détient un jeton peut les lire, et cette page fait la même chose. Ce qu'elle ne peut pas faire, c'est vous dire que le jeton est authentique. Cela demande le secret ou la clé publique qui a servi à le signer, et c'est le travail du service auquel le jeton est présenté. Lisez ce qui suit comme une affirmation que le jeton fait sur lui-même. Et traitez un jeton que vous collez quelque part comme un identifiant actif jusqu'à son expiration, car il reste ce qui permettrait à quelqu'un d'agir en tant que la personne qu'il nomme.
Lisez le jeton, puis voyez la requête qui le portait
Session Replay enregistre la requête qui portait le jeton, la réponse reçue et la ligne de console à côté, si bien que la prochaine personne à examiner un appel refusé a déjà tout sous les yeux.