Qu'est-ce qu'un JWT ?

Un JSON Web Token (JWT) est un format de token compact et sûr pour les URL, composé de trois parties encodées en Base64URL — en-tête, payload et signature — séparées par des points, couramment utilisé pour l'authentification et l'échange d'informations.

Cet outil vérifie-t-il la signature du token ?

Non. Cet outil décode seulement l’en-tête et la charge utile pour que vous puissiez lire leur contenu ; il ne vérifie pas la signature avec une clé secrète ou publique. Les notes sous la zone de saisie et à côté de la signature le rappellent.

Que signifient les claims exp, iat et nbf ?

iat correspond au moment où le token a été émis, nbf au moment le plus tôt où il devient valide, et exp au moment où il expire. Ce sont tous trois des horodatages Unix (secondes depuis 1970), que cet outil convertit en une date lisible.

Est-il sûr de coller ici un vrai token de production ?

Oui, dans la mesure où le décodage se fait entièrement dans votre navigateur et que le token n'est jamais envoyé où que ce soit — mais traitez tout token réel comme un secret quel que soit l'endroit où vous le collez, car quiconque le possède peut potentiellement l'utiliser jusqu'à son expiration.

Pourquoi ne puis-je pas lire la partie signature ?

La signature n'est pas destinée à être lisible par un humain — c'est une valeur cryptographique qui permet de vérifier que le token n'a pas été altéré. Cet outil l'affiche en texte brut mais ne tente pas de la décoder ni de la vérifier.

Pourquoi mon jeton est-il « Non expiré » alors que mon API le refuse ?

Le badge compare seulement le claim exp à l’horloge de votre appareil. Un serveur peut quand même refuser le jeton si la signature ne correspond pas à sa clé, si le claim aud ou iss est incorrect, si nbf est encore dans le futur, si le jeton a été révoqué ou si l’horloge du serveur diffère de la vôtre.