JWT-Decoder
Fügen Sie ein JSON Web Token ein, um Header und Payload zu lesen, das Ablaufdatum zu sehen und die Signatur mit Ihrem Secret oder öffentlichen Schlüssel zu prüfen.
EINGABE
AUSGABE
Das Ergebnis erscheint hier, sobald Sie tippen.
Läuft vollständig in Ihrem Browser. Ihre Eingaben werden an keinen Server gesendet.
So dekodieren Sie ein JWT
Token einfügen
Kopieren Sie das Token aus einem Authorization-Header, einem Cookie oder den Entwicklertools Ihres Browsers und fügen Sie es in das Eingabefeld ein.
Claims lesen
Header und Payload erscheinen als formatiertes JSON. Zeitangaben wie exp und iat werden in Ihrer eigenen Zeitzone angezeigt.
Signatur prüfen
Geben Sie das gemeinsame Secret (HS256) oder den öffentlichen Schlüssel des Ausstellers (RS256, ES256) ein. So stellen Sie sicher, dass das Token nicht verändert wurde.
Was steckt in einem JWT?
Ein JWT besteht aus drei Base64URL-kodierten Teilen, die durch Punkte getrennt sind: einem Header mit dem Signaturalgorithmus, einer Payload mit Claims wie Benutzer-ID und Ablaufzeit und einer Signatur. Header und Payload kann jeder lesen. Nur die Signatur belegt, wer das Token ausgestellt hat.
Dekodieren ist nicht Verifizieren
Das Dekodieren zeigt, was ein Token behauptet, aber nicht, ob es stimmt. Bevor Ihr eigener Code einem Token vertraut, sollte er auf dem Server die Signatur und den exp-Claim prüfen.
Häufige Fragen
Ist es sicher, mein Token hier einzufügen?
Das Token wird in Ihrem Browser dekodiert und nie an einen Server gesendet. Behandeln Sie gültige Tokens trotzdem wie Passwörter: Wer eines hat, kann es bis zum Ablauf verwenden.
Welche Signaturalgorithmen lassen sich prüfen?
HS256, HS384 und HS512 mit einem gemeinsamen Secret sowie RS256, PS256 und ES256 samt ihren 384- und 512-Varianten mit einem öffentlichen Schlüssel im PEM-Format.
Warum wird mein Token als abgelaufen angezeigt?
Der exp-Claim wird mit der Uhr Ihres Geräts verglichen. Liegt die angezeigte Zeit in der Vergangenheit, lehnen Server das Token ab und Sie benötigen ein neues.
Kann das Tool verschlüsselte Tokens (JWE) dekodieren?
Nein. Verschlüsselte Tokens bestehen aus fünf Teilen und lassen sich nur mit dem privaten Schlüssel lesen. Dieses Tool dekodiert signierte Tokens (JWS), wie sie die meisten APIs verwenden.