Décodeur JWT et vérificateur de signature HMAC

Qu'est-ce qu'un JSON Web Token ?

Un JSON Web Token (RFC 7519) est un moyen compact et sûr pour les URL de transférer des claims entre deux parties. Les tokens se composent de trois parties encodées en Base64URL séparées par des points : header, payload et signature cryptographique.

Le décodage extrait le header et les claims en JSON lisible. La vérification recalcule la signature HMAC avec un secret partagé et valide les timestamps exp, iat et nbf. Le traitement s'exécute en local via Web Crypto ; les secrets et tokens ne sont jamais transmis.

Décoder et vérifier un JWT en code

JavaScript (Node.js)

const crypto = require("crypto");
const [header, payload, signature] = token.split(".");
const expected = crypto.createHmac("sha256", secret)
  .update(`${header}.${payload}`)
  .digest("base64url");
const isValid = crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));

Python

import hmac, hashlib, base64
header, payload, sig = token.split(".")
expected = base64.urlsafe_b64encode(
    hmac.new(secret.encode(), f"{header}.{payload}".encode(), hashlib.sha256).digest()
).decode().rstrip("=")
is_valid = hmac.compare_digest(sig, expected)