What is the difference between decoding and verifying a JWT?

Decoding only Base64url-decodes the header and payload — it works on any well-formed token, including forged or tampered ones. Verifying recomputes the HMAC (HS256) or signature check using a secret or public key and confirms the token was actually issued by your auth server. Use the Decode tab for inspection; use the Verify tab to prove authenticity.

Can this tool verify the JWT signature?

Yes — open the Verify tab, paste the token, and provide the shared HS256 secret. The tool recomputes the HMAC-SHA256 signature in your browser using the Web Crypto API and returns valid or invalid. For RS256 or ES256 (asymmetric algorithms), verification must happen on the server with the corresponding public key.

Is my JWT or secret sent to a server?

No. Decoding, signing, and verification all happen locally via the Web Crypto API. Tokens and secrets never leave your browser — no upload, no logging, no analytics on the content.

Why does my decoded payload show numbers instead of dates?

JWT timestamps (iat, exp, nbf) are Unix timestamps — seconds since January 1, 1970 UTC. The decoder surfaces the parsed expiry above the JSON, and you can paste the raw number into the Timestamp Converter tool to read other claims.

What is the alg: none vulnerability?

Some JWT libraries trust the header's alg field to decide which algorithm to verify with. If your server accepts alg: none, an attacker can submit a forged token with no signature and have it accepted. Always pin the expected algorithm on the server side and reject none explicitly.

What's the difference between the header and payload?

The header contains the token type and signing algorithm (alg, typ). The payload contains the claims — standard fields like iss (issuer), sub (subject), aud (audience), exp (expiry), iat (issued at), nbf (not before), plus any custom data your app embeds.

Can I decode a JWT that's been modified?

Yes — any valid Base64url string decodes. That's exactly why decoding alone proves nothing. The signature is what binds the header and payload to the issuer; any change to either invalidates the signature on verify.

Should I use HS256 or RS256?

Use HS256 when the issuer and verifier share one trusted secret (single backend). Use RS256 (or ES256) when verifiers should not be able to issue tokens — the private key signs, the public key verifies. This tool covers HS256 fully; RS256 tokens decode but verification needs server-side public-key checks.

Utilitaires développeur

Outil JWT

Décodez, signez et vérifiez des tokens JWT localement.

Vos données restent sur votre appareilSans envoi, sans serveurFonctionne hors ligne

Les jetons sont signés localement dans votre navigateur. Ne partagez pas la clé.

Jeton JWT

Algorithme

HS256

Sujet

toolgrid

Expire le

11/12/2026 23:00:00

Header décodé

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload décodé

{
  "sub": "toolgrid",
  "exp": 1797030000
}

Pourquoi utiliser cet outil

Inspectez les claims JWT, créez des tokens signés HS256 et vérifiez les signatures dans le navigateur.

L'outil JWT combine décodage, construction et vérification en un seul endroit.

Signez des tokens avec HMAC-SHA256 et vérifiez les signatures localement sans envoyer de secrets à un serveur.

Comment l'utiliser

01Décoder : collez n'importe quel JWT pour inspecter l'en-tête et les claims du payload.

02Construire : fournissez un payload JSON et un secret pour produire un token HS256 signé.

03Vérifier : collez un token et son secret pour vérifier si la signature correspond.

Vérifications rapides avant de copier

Confirmez que le format de saisie est celui attendu.

Vérifiez le résultat avant de l'utiliser dans un document, une URL, une config ou un message.

Copiez uniquement le résultat dont vous avez besoin.

FAQ

Mon JWT est-il envoyé à un serveur lors du décodage ?

Non. Le décodage s'effectue entièrement dans votre navigateur. Les JWT des systèmes de production peuvent être collés en toute sécurité.

Pourquoi les dates du payload s'affichent-elles sous forme de nombres ?

Les timestamps JWT (iat, exp, nbf) sont des timestamps Unix : secondes depuis le 1er janvier 1970 UTC.

Quelle est la différence entre l'en-tête et le payload ?

L'en-tête contient le type de token et l'algorithme de signature. Le payload contient les claims : données utilisateur, permissions, expiration, etc.

Outil JWT

Pourquoi utiliser cet outil

Comment l'utiliser

Vérifications rapides avant de copier

FAQ

Outils liés

Formateur JSON

Encodeur / Décodeur Base64

Générateur de Hash

Outil JWT

Formateur JSON→

Encodeur / Décodeur Base64→

Générateur de Hash→

Formateur JSON

Encodeur / Décodeur Base64

Générateur de Hash