Décoder un JWT

Coller un jeton actif dans un décodeur en ligne, c’est remettre à quelqu’un une clé qui ouvre votre compte. Celui-ci fonctionne entièrement dans l’onglet — le seul genre de décodeur qu’on puisse utiliser sans risque avec un vrai jeton.

Fonctionne entièrement dans votre navigateur
Fonctionne hors ligne
Aucun envoi de fichier
Sans inscription
Sans filigrane

Chargement de l’outil…

Comment ça marche

Collez le jeton.
Lisez l’en-tête et la charge utile décodés ; l’expiration est signalée si elle est passée.
Si vous le souhaitez, saisissez le secret pour vérifier une signature HS256.

Pourquoi rien n’est envoyé

Toutes les opérations de cette page sont effectuées par du code qui tourne dans l’onglet de votre navigateur, avec le moteur qui affiche les pages web. Le fichier est lu depuis le disque vers la mémoire de l’onglet, transformé sur place, puis réécrit sous forme de téléchargement. Il n’est jamais envoyé où que ce soit — ni à nous, ni à un tiers.

Vérifiez-le vous-même

Ouvrez les outils de développement de votre navigateur (F12) et choisissez l’onglet « Réseau ».
Chargez votre fichier et lancez l’outil.
Les seules requêtes que vous verrez téléchargent le code de l’outil lui-même — et, pour quelques outils lourds, leur moteur open source depuis un CDN public — plus un petit signal de visite vers loreatec.jp (adresse et titre de la page, rien de plus). Aucune ne transporte votre fichier.

La preuve que tout reste chez vous →

Questions fréquentes

Pourquoi décoder un JWT n’est-il pas un problème de sécurité, alors que le coller en est un ?

Le contenu est seulement encodé, pas chiffré : quiconque détient le jeton peut le lire, la lecture n’est donc pas le risque. Le jeton, lui, l’est : il fait office de clé de votre compte jusqu’à son expiration. Collez-le sur le site de quelqu’un d’autre et vous lui avez remis votre connexion.

Peut-il vérifier du RS256 ?

Pas encore — seulement le HS256, qui ne demande que le secret partagé. Vérifier du RS256 exige la clé publique de l’émetteur au format JWK ou PEM, ce qui demanderait plus d’interface que ça ne vaut ici.