Décodeur JWT
Collez un JSON Web Token pour lire son en-tête et ses claims, et détecter les réglages risqués. Le jeton reste dans votre navigateur.
Rien ne quitte votre navigateur : le jeton et le secret éventuel sont traités uniquement sur cette page.
Comment ça fonctionne
Un JSON Web Token signé comporte trois parties séparées par des points : un en-tête, une charge utile contenant des claims et une signature. Les deux premières sont seulement encodées en Base64url : quiconque détient le jeton peut les lire. Cet outil les décode sur votre appareil, affiche les claims de date sous forme de dates et vérifie les réglages qui causent le plus souvent des problèmes de sécurité. Il essaie aussi une courte liste de secrets issus de tutoriels et de configurations par défaut, car les jetons signés avec ces secrets peuvent être forgés par n’importe qui.
Interpréter le résultat
Les problèmes doivent être corrigés : jeton non signé, absence d’expiration ou secret bien connu. Les avertissements dépendent du contexte ; une audience manquante est sans conséquence si un seul service accepte le jeton. Décoder n’est pas vérifier. Seul un contrôle de signature avec la bonne clé montre qu’un jeton est authentique et n’a pas été modifié, et le serveur doit en outre imposer l’algorithme qu’il accepte au lieu de se fier à l’en-tête.
Limites
L’outil vérifie les signatures HS256, HS384 et HS512 avec un secret que vous saisissez. Il ne peut pas vérifier les signatures RS, PS, ES ou EdDSA, ni lire les jetons chiffrés (JWE), qui comportent cinq parties.
Questions fréquentes
Mon jeton est-il envoyé quelque part ?
Non. Le décodage, les contrôles et la vérification de signature s’exécutent dans votre navigateur. Traitez néanmoins les jetons en cours de validité comme des mots de passe et ne les collez que dans des outils de confiance.
Pourquoi alg none est-il dangereux ?
Le jeton n’a pas de signature : n’importe qui peut modifier ses claims. Certaines bibliothèques l’acceptaient autrefois lorsque le serveur n’imposait pas un algorithme précis.
Combien de temps un JWT doit-il rester valide ?
Aussi peu de temps que possible. Les jetons d’accès expirent généralement en 5 à 60 minutes ; les sessions plus longues s’appuient sur des jetons de rafraîchissement que le serveur peut révoquer.
Puis-je vérifier des jetons RS256 ici ?
Non. Il faut pour cela la clé publique de l’émetteur, généralement publiée sur son point de terminaison JWKS. Vérifiez ces jetons dans votre bibliothèque JWT avec une clé et un algorithme fixes.
Besoin d’aller plus loin qu’un outil ?
Un outil vérifie un point précis. Nos consultants examinent l’ensemble.
Tests d’intrusionArticles liés
-
Sécurité WordPress : une liste de contrôle pratique
Douze mesures de durcissement WordPress, dans l’ordre : mises à jour, extensions abandonnées, 2FA, XML-RPC, sauvegardes, intégrité des fichiers et WAF.
-
Les en-têtes de sécurité qui comptent, et ceux à abandonner
Guide pratique : CSP avec nonces, HSTS et preload, frame-ancestors, Referrer-Policy, Permissions-Policy, COOP, avec des exemples et ce qu’il faut retirer.
-
Concevoir et tester des téléversements de fichiers sécurisés
Une checklist de contrôles pour les fonctions de téléversement, tirée de la cheat sheet OWASP, avec un tableau de tests à exécuter sur chaque endpoint.