JWT Decoder
JWT einfügen und Header, Inhalt und Zeitangaben lesbar sehen.
Was ein JWT enthält
Ein JSON Web Token besteht aus drei Teilen, die durch Punkte getrennt sind: Header, Payload und Signatur. Header und Payload sind Base64-kodiertes JSON. Der Decoder macht daraus lesbaren Text. Zeitangaben wie iat (ausgestellt), nbf (gültig ab) und exp (läuft ab) rechnet er in ein Datum um.
- Die Signatur wird nicht geprüft, dafür braucht man den geheimen Schlüssel.
- Der Inhalt ist nicht verschlüsselt. Lege keine Geheimnisse in ein JWT.
- Das Wort „Bearer“ vor dem Token wird erkannt und ignoriert.
Wie ein JWT aufgebaut ist
Ein JSON Web Token besteht aus drei Teilen, die durch Punkte getrennt sind: Header, Payload und Signatur. Header und Payload sind Base64URL-kodiertes JSON und lassen sich ohne Schlüssel lesen. Dort stehen etwa der Algorithmus, der Aussteller und das Ablaufdatum.
Das Dekodieren prüft die Signatur nicht. Ob ein Token echt ist, kann nur der Server mit dem passenden Schlüssel entscheiden. Lege deshalb in der Payload nie geheime Daten ab, denn jeder kann sie lesen.
Dein Token bleibt in deinem Browser
Das Dekodieren läuft auf deinem Gerät. Das Token wird nirgends hin gesendet. Verwende trotzdem keine echten Produktions-Tokens auf fremden Geräten.
Fragen und Antworten
Kann der Decoder die Signatur prüfen?
Nein. Die Prüfung braucht den geheimen oder öffentlichen Schlüssel und gehört in deine Anwendung.
Warum steht mein Token als abgelaufen da?
Das Feld exp enthält den Zeitpunkt, bis zu dem das Token gilt. Liegt er vor jetzt, ist es abgelaufen.
Kostet das Tool etwas?
Nein. Das Tool ist kostenlos und braucht weder Anmeldung noch Installation. Es gibt keine feste Grenze für die Länge der Eingabe, die Grenze setzt nur der Arbeitsspeicher deines Geräts.
Ist es sicher, ein Token hier einzufügen?
Dekodiert wird im Browser. Trotzdem gilt: Füge keine Tokens aus produktiven Systemen ein, die noch gültig sind, und tausche sie im Zweifel aus.