JWT decoder
Plak een JSON Web Token om de inhoud te lezen, te zien of het is verlopen en de handtekening te verifiëren.
Verzegeld op dit apparaat
Werkt in je browser. Er wordt niets geüpload.
Verzegeld
Decoderen en verifiëren gebeurt op dit apparaat. Het token wordt nooit ergens naartoe gestuurd.
Gedecodeerd
De header, payload en datums van je token verschijnen hier.
Header
Payload
Geregistreerde claims
De handtekening verifiëren (optioneel)
Decodeer eerst een token. Het algoritme bepaalt welke sleutel nodig is.
PEM (-----BEGIN PUBLIC KEY-----) of JWK in JSON. Plak nooit een privésleutel in een website die je niet vertrouwt.
Zo werkt het
-
Plak het token
Plak een JWT uit een Authorization-header, een cookie of je logs. Een ‘Bearer’ aan het begin wordt genegeerd.
-
Lees de inhoud
De header en payload worden als opgemaakte JSON getoond, met exp, iat en nbf omgezet naar datums in je tijdzone.
-
Verifieer als het nodig is
Vul het gedeelde geheim in of plak de publieke sleutel om de handtekening te bevestigen, zonder dat het token je apparaat verlaat.
Veelgestelde vragen
Is het veilig om hier een echt token te plakken?
Het token wordt in je browser gedecodeerd en geverifieerd en nooit naar een server gestuurd. Toch is een token als een tijdelijk wachtwoord: deel het niet, en trek het in als het ergens anders is uitgelekt.
Kan iedereen de inhoud van een JWT lezen?
Ja. Een standaard ondertekende JWT is alleen Base64url-gecodeerd, niet versleuteld, dus iedereen die hem heeft, kan de payload lezen. De handtekening bewijst alleen dat niemand hem heeft gewijzigd. Zet nooit geheimen in de payload van een JWT.
Waarom staat er dat mijn token is verlopen?
De claim exp bevat het vervaltijdstip, in seconden sinds 1 januari 1970 (UTC). Is dat moment volgens de klok van je apparaat voorbij, dan is het token verlopen en horen servers het te weigeren.
Welke handtekeningen kunnen worden geverifieerd?
HMAC (HS256, HS384, HS512) met een gedeeld geheim, en RSA (RS256–512, PS256–512) en elliptische curven (ES256, ES384, ES512) met een publieke sleutel in PEM- of JWK-formaat. De verificatie gebruikt de ingebouwde Web Crypto van je browser.
Wat betekenen iss, sub en aud?
Het zijn standaardclaims: iss is wie het token heeft uitgegeven, sub is over wie het gaat (vaak een gebruikers-ID) en aud is voor wie het bedoeld is. Andere velden in de payload zijn specifiek voor de applicatie die het token heeft gemaakt.