Décodeur de JWT

Un JSON Web Token (JWT, défini dans la RFC 7519) est une manière compacte et sûre pour les URL de représenter un ensemble de revendications (claims) concernant un utilisateur, avec une preuve cryptographique que ces revendications n'ont pas été altérées. Les JWT alimentent l'authentification dans la plupart des piles web modernes : lorsque vous vous connectez, le serveur crée un JWT contenant votre identifiant d'utilisateur et vos autorisations, le signe avec une clé secrète et vous le renvoie. Votre navigateur stocke le token (généralement dans localStorage ou dans un cookie) et l'inclut dans l'en-tête Authorization de chaque requête ultérieure. Le serveur vérifie la signature à chaque requête : si elle est valide, les revendications du token sont dignes de confiance ; si le token a été altéré, la signature ne correspond plus et la requête est rejetée. Les JWT comportent trois parties encodées en Base64URL et séparées par des points : l'en-tête déclare l'algorithme de signature (HS256 pour HMAC-SHA256, RS256 pour RSA, ES256 pour ECDSA, none pour les tokens non signés, ce qui est dangereux et que vous devriez rejeter) ; la charge utile (payload) contient les revendications proprement dites (revendications standard comme « sub » pour le sujet, « exp » pour l'expiration, « iat » pour la date d'émission, ainsi que toute revendication personnalisée définie par votre application) ; la signature est la preuve que l'en-tête et la charge utile ont été signés par quelqu'un détenant le secret. Ce décodeur révèle les deux premières parties, qui sont des informations publiques ; la signature ne peut être vérifiée qu'avec la clé, raison pour laquelle tout décodeur de JWT affiche les revendications sans les vérifier.