Workflow de décodage JWT : inspectez les jetons en toute sécurité

Guide étape par étape pour décoder et valider l'en-tête et la charge utile JWT localement sans envoyer de jetons à un serveur.

Les jetons Web JSON comportent des revendications signées pour les API et le SSO. Avant de faire confiance à un jeton, les développeurs décodent l'en-tête et la charge utile, vérifient les réclamations exp/iss/aud et vérifient les signatures avec la bonne clé.

Ce guide utilise Tentaco JWT Decoder dans Security Studio : toutes les analyses restent dans votre navigateur. Ne collez jamais de jetons de production sur des sites non fiables.

Étapes

Ouvrez JWT Decoder depuis Security Studio ou /use/jwt-decoder.
Collez le JWT (trois segments Base64url séparés par des points).
Examinez l’en-tête décodé (alg, typ) et les revendications de charge utile (sub, exp, iss).
Vérifiez l'expérience par rapport à l'heure actuelle - rejetez les jetons expirés.
Vérifiez la signature localement si vous disposez de la clé secrète ou publique – ne faites pas confiance aux réclamations sans vérification.

Ouvrir dans le studio

Studio de sécurité

Guides associés

JWT Decoder – inspecter les réclamations de jetons