Vérificateur de signature JWT
Vérifiez la signature d'un JSON Web Token avec un secret HMAC, une clé publique PEM, un certificat X.509, un JWK ou JWKS, et contrôlez exp, nbf, issuer et audience.
HS256Utilisez au moins autant d’octets aléatoires que la taille du hachage (32 octets pour HS256). Les mots de passe courts peuvent être cassés par force brute hors ligne.
Qu'est-ce que Vérificateur JWT ?
Cet outil vérifie qu'un JSON Web Token a été signé avec la clé que vous fournissez et n'a pas été modifié, et que ses claims temporels sont valides à l'instant présent. Il accepte un secret partagé pour HS256/384/512, ou une clé publique PEM, un certificat X.509, un JWK ou un JWKS pour les jetons RS, PS, ES et EdDSA, avec contrôles facultatifs de l'émetteur et de l'audience et une tolérance d'horloge.
Comment utiliser Vérificateur JWT
- Collez le jeton ; l'algorithme de son en-tête s'affiche.
- Saisissez le secret (HS*) ou la clé publique, le certificat, le JWK ou le JWKS.
- Définissez éventuellement la tolérance d'horloge, l'émetteur et l'audience attendus, ou cochez « Vérifier uniquement la signature ».
- Cliquez sur Vérifier et lisez le résultat ; en cas de succès, le payload et les claims temporels s'affichent.
Exemple
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
Avec le secret wrong-secret, le résultat est : Signature verification failed.
Quand utiliser Vérificateur JWT
Utilisez-le pour confirmer qu'un jeton a été émis par le serveur attendu, déboguer des erreurs « invalid signature » ou tester une rotation de clés. Sans la bonne clé, aucun outil ne peut vérifier un JWT. Évitez de coller des secrets de production dans un site web ; préférez une clé publique, qui peut être partagée sans risque.
Comment fonctionne Vérificateur JWT
La vérification s'exécute en local avec la bibliothèque jose et Web Crypto. Seul l'algorithme nommé dans l'en-tête du jeton est autorisé, et alg « none » est toujours rejeté. Les jetons HMAC sont vérifiés avec les octets UTF-8 du secret (ou décodés de Base64) ; les jetons asymétriques avec une clé SPKI, X.509, JWK importée ou un JWKS local (sélectionné par kid). Après la signature, exp et nbf sont comparés à l'horloge de votre appareil (plus la tolérance), et iss/aud le sont si vous les avez saisis. Chaque échec est signalé avec une raison précise.
Cas d'utilisation courants
- Vérifier si un jeton a été signé avec la clé actuelle ou l'ancienne après une rotation.
- Déboguer pourquoi une passerelle rejette des jetons (expiré, mauvaise audience ou signature incorrecte).
- Vérifier un jeton d'identité OpenID Connect avec le JWKS du fournisseur.
- Confirmer qu'un jeton n'a pas été altéré.
Note de Sécurité
La vérification a lieu dans votre navigateur ; clés et jetons ne sont pas envoyés. Les clés publiques peuvent être partagées sans risque, pas les secrets.
Questions Fréquentes
Peut-il vérifier un jeton sans la clé ?
Non. Une signature ne peut être vérifiée qu'avec le secret (HMAC) ou la clé publique de l'émetteur. Décoder sans clé ne prouve rien.
Où trouver la clé publique ?
Les fournisseurs OpenID Connect publient un JWKS à l'adresse jwks_uri indiquée dans /.well-known/openid-configuration. Collez ce JSON ici.
Pourquoi une signature valide échoue-t-elle quand même ?
Le jeton peut être expiré, pas encore valide (nbf), ou avoir un émetteur ou une audience différents de ceux saisis. Le message indique quel contrôle a échoué.