Encodeur / décodeur JWT

Mode d’emploi

1. Collez un jeton : l’en-tête et la charge utile apparaissent aussitôt, sans bouton à presser. Tout ce qui vient du jeton reste exactement tel qu’il a été signé — l’entrée n’est jamais réécrite.
2. Ajoutez le secret sous le champ pour contrôler la signature. Le laisser vide signifie simplement « non vérifiée » : vous lisez quand même les claims tels quels.
3. Passez en mode Encoder, écrivez vos claims en JSON, choisissez HS256/384/512 et un secret, puis copiez le jeton produit. Changer de mode n’efface jamais votre saisie.
4. Les claims standard exp / iat / nbf sont explicités dans votre langue et votre fuseau horaire, avec les marques expiré et pas encore valide.

Règles, limites et problèmes connus

• Seuls HS256, HS384 et HS512 sont pris en charge, en signature comme en vérification. Les jetons RS*, ES* et PS* sont décodés et affichés tels quels, mais leur signature n’est jamais contrôlée — cela exige une clé publique, la ligne d’état le dit donc au lieu de deviner.
• Les jetons non signés (alg: none) sont décodés et clairement signalés, mais jamais produits : demander une signature sans secret renvoie une erreur plutôt qu’un jeton non signé.
• L’encodage construit l’en-tête lui-même (`{"alg": … ,"typ": "JWT"}`). Les champs d’en-tête comme kid, jku, x5c ou cty ne sont pas repris — cet outil signe des claims, pas des chaînes de certificats.
• Votre JSON de claims est resérialisé de façon compacte avant signature : l’indentation et les commentaires restent hors du jeton. L’ordre des clés suit les objets JavaScript : les clés répétées s’effondrent sur la dernière, et les clés numériques passent devant.
• Les très grands entiers perdent en précision — `12345678901234567890` revient arrondi, car c’est le comportement des nombres JavaScript. Rien n’est corrigé en silence ; utilisez des chaînes quand les chiffres exacts comptent.
• Les claims sont affichés indentés pour la lecture, tandis que la signature couvre les segments bruts exactement tels qu’ils figurent dans le jeton. Rien n’est réencodé dans votre dos : un jeton vérifié ici le sera aussi dans votre propre code.
• Le base64url est strict : `+`, `/` et `=` sont signalés comme des erreurs au lieu d’être acceptés en silence, et les octets non UTF-8 sont signalés plutôt que remplacés par des caractères de substitution. Les espaces dans un jeton collé sont ignorés, car un jeton n’en contient jamais.
• Les JWE chiffrés (cinq parties) ne sont pas déchiffrés — l’outil vous indique simplement que c’est ce que vous avez collé.
• Limite de taille : 10 000 caractères. Rien n’est envoyé, stocké, écrit dans l’URL ni partagé : le bouton de partage ne partage que l’adresse de cette page, jamais votre jeton ni votre secret.