Valider token JWT — HS256 · HS384 · HS512 · RS256 · RS384 · RS512 · ES256 · PS256 — 100% local
Collez votre JWT et entrez le secret HMAC ou la clé publique PEM pour vérifier la signature. L'outil utilise l'API SubtleCrypto du navigateur pour une vérification cryptographique sans envoyer aucune donnée.
Vérifiez la signature de votre token JWT
Ouvrir le vérificateur JWT →La vérification d'une signature JWT garantit deux choses : que le token a bien été émis par la partie qui prétend l'avoir émis, et qu'il n'a pas été modifié en transit.
Collez votre JWT, cliquez sur Options avancées et entrez le secret HMAC. L'outil recalcule la signature HMAC-SHA256 sur le header et le payload encodés, et la compare à la signature du token.
Entrez la clé publique RSA au format PEM (SPKI, -----BEGIN PUBLIC KEY-----). L'API SubtleCrypto importe la clé et vérifie la signature RSA-PKCS#1-v1_5 SHA-256. La clé privée n'est jamais requise pour vérifier.
La vérification confirme l'authenticité (non-altération, source connue), mais pas la validité temporelle. Un token peut avoir une signature valide mais être expiré (exp dans le passé) ou pas encore actif (nbf dans le futur).
Non. Pour HS256, le secret n'est utilisé que pour le calcul HMAC dans SubtleCrypto — il ne quitte pas le navigateur. Pour RS256, seule la clé publique est nécessaire, pas la clé privée.