Convertissez une JSON Web Key en PEM et inversement pour les clés RSA, EC et Ed25519, avec l'empreinte
Fonctionne dans votre navigateur. Rien de ce que vous saisissez n'est envoyé nulle part. Vérifié le 16 octobre 2026.Un JWK est une clé écrite en JSON, utilisée par les JWT, OAuth et OpenID Connect ; PEM est la forme texte en Base64 qu'utilisent OpenSSL et les serveurs. Collez l'un ou l'autre et il est converti dans l'autre format, pour les clés RSA, EC (P-256, P-384, P-521, secp256k1) et Ed25519, avec l'empreinte RFC 7638, entièrement dans votre navigateur.
Cette page a été traduite automatiquement à partir de l'original anglais. Aucune personne n’a encore relu la traduction : c’est la version anglaise qui fait foi. Lire l'original en anglais
Collez le JWK, un JWK Set issu d'un point d'accès jwks.json, ou une clé ou un certificat PEM.
Le sens est détecté : un JWK devient PEM, un PEM devient un JWK.
Choisissez le format PEM, comme PKCS#8 ou PKCS#1, ou cochez Clé publique uniquement pour retirer la partie privée.
Cliquez sur Copier ou Télécharger ; l'empreinte RFC 7638 est affichée pour chaque clé.
Les JSON Web Keys et les fichiers PEM contiennent les mêmes nombres sous deux enveloppes. Un JWK nomme chaque partie, comme le module "n" et l'exposant "e" d'une clé RSA ou le point "x" et "y" d'une clé EC, en Base64url. Un fichier PEM contient les mêmes valeurs en DER, le format binaire de X.509 et d'OpenSSL, entre des lignes BEGIN et END.
Ce qu'il convertit.
| Clé | JWK vers PEM | PEM vers JWK |
|---|---|---|
| RSA publique | SPKI ou PKCS#1 | PUBLIC KEY, RSA PUBLIC KEY, certificat |
| RSA privée | PKCS#8 ou PKCS#1 | PRIVATE KEY, RSA PRIVATE KEY |
| EC P-256, P-384, P-521, secp256k1 | SPKI ; PKCS#8 ou SEC1 | PUBLIC KEY, PRIVATE KEY, EC PRIVATE KEY |
| Ed25519, Ed448, X25519, X448 | SPKI ; PKCS#8 | PUBLIC KEY, PRIVATE KEY |
Un JWK Set contenant plusieurs clés devient plusieurs blocs PEM, et plusieurs blocs PEM deviennent un JWK Set. Les certificats et les demandes de certificat donnent leur clé publique.
Formats. SPKI ("PUBLIC KEY") et PKCS#8 ("PRIVATE KEY") conviennent à tous les types de clé et sont ce qu'attendent la plupart des bibliothèques. PKCS#1 ("RSA PUBLIC KEY", "RSA PRIVATE KEY") est l'ancienne forme réservée à RSA ; SEC1 ("EC PRIVATE KEY") est l'ancienne forme EC d'OpenSSL.
Empreinte. L'empreinte RFC 7638 de chaque clé est affichée : le SHA-256 de ses membres obligatoires dans un ordre fixe, que de nombreux fournisseurs utilisent comme "kid". Cochez Ajouter kid pour l'inscrire dans le JWK.
Clés privées. Cochez Clé publique uniquement pour retirer les membres privés avant de publier. Quand une clé privée ne porte pas sa partie publique, celle-ci est calculée avec le WebCrypto du navigateur. Les fichiers PEM protégés par mot de passe doivent d'abord être déchiffrés.
Le résultat a été vérifié octet par octet avec Node.js et OpenSSL pour chaque type de clé pris en charge, ainsi qu'avec les exemples des RFC 7517 et RFC 7638. Les clés ne sont jamais envoyées et rien de ce que vous collez n'est conservé.
Collez le JWK dans la zone et le PEM apparaît aussitôt : un bloc PUBLIC KEY pour une clé publique, un bloc PRIVATE KEY pour une clé privée. Pour les clés RSA, vous pouvez passer à l'ancienne forme PKCS#1, et pour les clés privées EC à SEC1. Un JWK Set contenant plusieurs clés donne un bloc PEM par clé.
Ouvrez l'adresse jwks.json du fournisseur dans votre navigateur, copiez tout le JSON et collez-le ici. Chaque clé de la liste keys devient une clé publique PEM, étiquetée avec son type, sa taille et son empreinte, pour que vous puissiez la rapprocher du kid dans l'en-tête du jeton à vérifier.
Les deux contiennent une clé RSA. PKCS#1, étiqueté RSA PRIVATE KEY ou RSA PUBLIC KEY, ne contient que les nombres RSA. PKCS#8, étiqueté PRIVATE KEY, enveloppe tout type de clé avec un identifiant d'algorithme, comme SPKI le fait pour les clés publiques. La plupart des bibliothèques modernes, dont Java et Node.js, attendent PKCS#8 et SPKI.
Un identifiant court calculé à partir de la clé elle-même, défini dans la RFC 7638 : les membres obligatoires, comme e, kty et n pour RSA, sont écrits en JSON par ordre alphabétique sans espaces puis hachés en SHA-256. La même clé obtient toujours la même empreinte, ce qui en fait un bon kid.
La conversion se fait entièrement dans votre navigateur ; la clé n'est ni envoyée, ni journalisée, ni stockée, et la page fonctionne hors ligne une fois chargée. Malgré tout, manipulez toute clé privée avec soin et préférez convertir des clés de test. Pour publier, cochez Clé publique uniquement afin que les membres privés n'apparaissent jamais dans le résultat.
Un JWK de clé privée Ed448 ou X448 doit inclure la clé publique, et OpenSSL écrit généralement ces fichiers PEM sans elle. La calculer demande des calculs Ed448 que les navigateurs ne fournissent pas. Exportez la clé avec sa partie publique, ou convertissez la clé publique séparément.
Les taux et les règles changent ; vérifiez la source avant de vous fier à un chiffre.
Toujours bloqué ? Poser une question sur Convertisseur JWK vers PEM et toute personne qui connaît la réponse peut répondre. Aucun compte nécessaire.