Signeur JWT

Qu'est-ce qu'un JWT ?

Un JSON Web Token (JWT) est un moyen compact et compatible avec les URL pour transporter des claims entre deux parties. Il se compose de trois parties encodées en Base64URL et reliées par des points : un en-tête qui nomme l'algorithme, une charge utile composée de claims JSON arbitraires, et une signature calculée sur header.payload avec une clé. Le destinataire recalcule la signature et rejette le jeton si elle ne correspond pas. Les JWT sont populaires pour l'authentification sans état, car les serveurs n'ont pas besoin de mémoriser les sessions — chaque requête transporte sa propre preuve. Le revers, c'est que vous ne pouvez pas révoquer un jeton une fois émis sans liste de révocation supplémentaire, et tout secret ou clé divulgué compromet tous les jetons signés avec lui. Cet outil fonctionne entièrement sur votre appareil — vos secrets, clés de signature et jetons ne quittent jamais la page, ne transitent jamais par nos serveurs, et ne sont ni stockés, ni indexés, ni journalisés, ni partagés. Cette garantie de confidentialité est essentielle, car la fuite d'une seule frappe d'un secret de signature JWT peut compromettre tous les comptes utilisateurs pour lesquels il émet des jetons.

Comment utiliser le signeur / vérificateur

Choisissez l'algorithme adapté à votre environnement, collez l'en-tête et la charge utile (ou utilisez les valeurs par défaut comme modèle), puis cliquez sur Signer. Pour RS256 et ES256, vous pouvez générer une nouvelle paire de clés sur la page ; pour HS256, vous fournissez un secret partagé. Pour vérifier, basculez en mode vérification, collez le jeton et le secret ou la clé publique correspondants, puis cliquez sur Vérifier. La charge utile décodée apparaît dans la zone de verdict en cas de succès.

Conseils pratiques et pièges à éviter

Définissez toujours exp (expiration) sur les jetons de production. N'acceptez jamais l'algorithme annoncé dans l'en-tête sans liste blanche — la classique attaque alg=none exploite les serveurs qui font confiance à l'en-tête. Faites tourner périodiquement les clés de signature, stockez les clés privées dans un HSM ou un gestionnaire de secrets, et traitez les secrets HMAC comme des mots de passe. Pour les navigateurs et les applications mobiles, privilégiez les JWT à courte durée de vie associés à des refresh tokens stockés dans des cookies HttpOnly.

Algorithmes pris en charge

Questions fréquentes