Le décodeur JWT s'appuie sur jwt-decode dans le navigateur pour analyser le Header et le Payload d'un jeton, puis affiche les valeurs iat, nbf et exp sous forme de dates et de temps relatifs, interprétées comme des secondes Unix. Il se contente de décoder et ne vérifie jamais la signature : « ça se décode » ou « exp n'est pas dépassé » ne signifie donc pas que le jeton est valide et digne de confiance.

1. 01Collez un JWT, avec éventuellement le préfixe Bearer .
2. 02Consultez les trois segments colorés, puis le Header et le Payload en JSON.
3. 03Si iat/nbf/exp sont présents, lisez la date locale et le temps relatif, ainsi que l'indication « expiré » ou « pas encore actif ».
4. 04Copiez le JSON structuré ; pour vérifier une signature, passez par un serveur ou un outil dédié disposant de la bonne clé et d'une politique d'algorithme.

• Le jeton doit être décodable selon la structure Base64URL d'un JWT ; un format incorrect affiche un échec d'analyse.
• Aucun calcul ni aucune vérification des signatures HMAC/RSA/ECDSA ; l'outil ne contrôle pas si alg est autorisé et ne vérifie pas les revendications métier iss/aud/sub.
• iat/nbf/exp ne sont interprétés en secondes Unix que s'ils sont numériques ; une date sous forme de chaîne n'est pas convertie.
• Le diagnostic privilégie « expiré », puis « pas encore actif », sinon il affiche « valide » sur la seule base des champs temporels. Ce n'est pas un résultat de validation cryptographique.
• Le Payload d'un JWT n'est qu'un encodage, pas un chiffrement : toute personne qui détient le jeton peut généralement en lire le contenu.

Le jeton n'est décodé que dans la mémoire du navigateur et n'est pas envoyé à un serveur ; évitez malgré tout de coller des identifiants de production sur un appareil non fiable.