Comment décoder un token Bearer ?

Un token Bearer est généralement un JWT. Retirez le préfixe 'Bearer ' et collez le token dans le décodeur. Vous obtenez les claims OAuth : scope, azp, sub, iss, exp.

Comment vérifier la signature d'un token Keycloak ou Auth0 ?

Ces fournisseurs signent leurs tokens en RS256. Récupérez la clé publique JWKS de l'émetteur, convertissez-la en PEM (SPKI) et collez-la dans le champ Clé publique. L'outil vérifie la signature RSA-SHA256.

Flowfiles ← Décodeur JWT

JWT OAuth 2.0 — Décoder un access token en ligne

Q: Qu'est-ce qu'un access token JWT OAuth 2.0 ?

Dans OAuth 2.0, un access token JWT est un token émis par le serveur d'autorisation. Il contient les claims scope (permissions accordées), sub (identifiant de l'utilisateur), iss (émetteur) et exp (expiration). Il est souvent signé avec RS256.

Q: Quelle différence entre access token et ID token ?

L'access token autorise l'accès aux ressources API. L'ID token (OpenID Connect) contient les informations d'identité de l'utilisateur (nom, email, etc.). Les deux sont des JWT mais ont des usages différents.

Analyser access token JWT · Claims OAuth 2.0 et OIDC · Scope · Expiration · RS256 — 100% local

Décodez vos access tokens et ID tokens JWT OAuth 2.0 / OpenID Connect. Inspectez les claims scope, azp, iss, sub, exp et vérifiez la signature RS256 avec la clé publique de votre fournisseur d'identité.

Analysez votre access token OAuth 2.0

Ouvrir le décodeur JWT →

Claims OAuth 2.0 et OpenID Connect

Les tokens JWT OAuth 2.0 et OIDC contiennent des claims spécifiques :

iss — Issuer : URL du serveur d'autorisation (Keycloak, Auth0, Azure AD…)
sub — Subject : identifiant unique de l'utilisateur
aud — Audience : client(s) pour lesquels le token est destiné
exp — Expiration : timestamp Unix après lequel le token est invalide
iat — Issued At : timestamp d'émission du token
scope — Scopes OAuth accordés : openid profile email…
azp — Authorized Party : client_id de l'application
jti — JWT ID : identifiant unique pour éviter la réutilisation

Questions fréquentes

Qu'est-ce qu'un access token JWT OAuth 2.0 ?

Un access token JWT est un token émis par le serveur d'autorisation OAuth 2.0, contenant les permissions accordées à l'application (scope) et l'identité de l'utilisateur. Il est envoyé dans l'en-tête Authorization: Bearer lors des appels API.

Comment décoder un token Keycloak ou Auth0 ?

Copiez le token JWT (access token ou ID token) et collez-le dans le décodeur. Les claims OAuth standard (scope, azp, iss, sub) s'affichent automatiquement. Pour vérifier la signature, utilisez la clé publique JWKS du fournisseur convertie en PEM.

Quelle différence entre access token et ID token OIDC ?

L'access token autorise l'accès aux ressources API — il ne doit pas être inspecté par l'API mais juste transmis. L'ID token (OIDC) contient les informations d'identité de l'utilisateur et est destiné au client.

Comment extraire le scope d'un access token ?

Collez votre token dans le décodeur. Le claim scope apparaît dans le panneau des claims, listant les permissions accordées séparées par des espaces (ex: openid profile email api:read).

Outils associés

Décodeur JWT complet Vérifier signature JWT Décoder un JWT Expiration JWT Encodeur Base64 Générateur UUID