Skip to content
UptimeMonitor360
Commencer gratuitement

JWT décodeur

Déboguer les problèmes d'authentification en lisant ce qu'un jeton dit réellement, dans un outil qui est explicite sur ce qu'il ne prouve pas.

La signature n'est pas vérifiée. Cet outil ne décode que la structure. Un jeton décodé ne prouve rien au sujet de qui l'a émis ou s'il est toujours valide pour votre API.

Algorithme (alg)HS256
Type (typ)JWT
Partie de signatureprésent (non vérifié)
Expiration—
Émetteur (iss)https://auth.example.com
Sujet (sub)user_42
Auditoire (aud)api
Émis à (iat)2023-11-14T22:13:20.000Z
Expire (exp)2027-01-15T08:00:00.000Z

En-tête

{
  "alg": "HS256",
  "typ": "JWT"
}

Charge utile

{
  "iss": "https://auth.example.com",
  "sub": "user_42",
  "aud": "api",
  "iat": 1700000000,
  "exp": 1800000000,
  "scope": "monitors:read"
}

Le décodage se produit dans votre navigateur; le jeton n'est envoyé nulle part. Évitez de coller des jetons de production dans n'importe quel site Web, y compris celui-ci.

Surveiller les flux authentifiés API avec les contrôles de transaction. Gratuit pour 5 moniteurs, sans carte bancaire.

Début de la surveillance

Les mesures à prendre

  • Les trois parties de base64url sont divisées et les deux premières décodées comme JSON (RFC 7519).
  • exp, nbf et iat sont rendus en ISO dates et comparés avec votre horloge.

Limites

  • La signature n'est jamais vérifiée, donc rien ici ne prouve qu'un jeton est authentique ou accepté par votre API.
  • Les jetons chiffrés (JWE, cinq parties) ne sont pas pris en charge.

Dépannage

API rejette un jeton qui semble valide ici
La validité dépend de la signature, de la clé, du public et de l'émetteur que le serveur attend, et de l'horloge. Cet outil ne peut pas les voir.

Outils connexes