JWT-Decoder
Fügen Sie einen JSON Web Token ein, um seinen Inhalt zu lesen, zu prüfen, ob er abgelaufen ist, und seine Signatur zu verifizieren.
Auf diesem Gerät versiegelt
Läuft in Ihrem Browser. Nichts wird hochgeladen.
Versiegelt
Dekodierung und Prüfung erfolgen auf diesem Gerät. Der Token wird nirgendwohin gesendet.
Dekodiert
Header, Payload und Zeitangaben Ihres Tokens erscheinen hier.
Header
Payload
Registrierte Claims
Signatur prüfen (optional)
Dekodieren Sie zuerst einen Token. Sein Algorithmus zeigt, welcher Schlüssel benötigt wird.
PEM (-----BEGIN PUBLIC KEY-----) oder JWK als JSON. Fügen Sie niemals einen privaten Schlüssel in eine Website ein, der Sie nicht vertrauen.
So funktioniert es
-
Token einfügen
Fügen Sie ein JWT aus einem Authorization-Header, einem Cookie oder Ihren Logs ein. Ein vorangestelltes „Bearer“ wird ignoriert.
-
Inhalt lesen
Header und Payload werden als formatiertes JSON angezeigt, exp, iat und nbf als Datum in Ihrer Zeitzone.
-
Bei Bedarf prüfen
Geben Sie das gemeinsame Geheimnis ein oder fügen Sie den öffentlichen Schlüssel ein, um die Signatur zu bestätigen, ohne dass der Token Ihr Gerät verlässt.
Häufige Fragen
Ist es sicher, hier einen echten Token einzufügen?
Der Token wird in Ihrem Browser dekodiert und geprüft und nie an einen Server gesendet. Trotzdem ist ein Token wie ein vorübergehendes Passwort: Geben Sie ihn nicht weiter und widerrufen Sie ihn, falls er anderswo offengelegt wurde.
Kann jeder den Inhalt eines JWT lesen?
Ja. Ein normales signiertes JWT ist nur Base64url-kodiert, nicht verschlüsselt. Wer es besitzt, kann die Payload lesen. Die Signatur beweist nur, dass niemand sie verändert hat. Legen Sie niemals Geheimnisse in die Payload eines JWT.
Warum heißt es, mein Token sei abgelaufen?
Der Claim exp enthält den Ablaufzeitpunkt in Sekunden seit dem 1. Januar 1970 (UTC). Ist dieser Zeitpunkt laut der Uhr Ihres Geräts vorbei, ist der Token abgelaufen und Server sollten ihn ablehnen.
Welche Signaturen können geprüft werden?
HMAC (HS256, HS384, HS512) mit einem gemeinsamen Geheimnis sowie RSA (RS256–512, PS256–512) und elliptische Kurven (ES256, ES384, ES512) mit einem öffentlichen Schlüssel im PEM- oder JWK-Format. Die Prüfung nutzt die eingebaute Web Crypto Ihres Browsers.
Was bedeuten iss, sub und aud?
Das sind Standard-Claims: iss gibt an, wer den Token ausgestellt hat, sub, wen er betrifft (oft eine Benutzer-ID), und aud, für wen er bestimmt ist. Andere Felder in der Payload sind spezifisch für die Anwendung, die den Token erstellt hat.