Dekoder JWT
Wklej JSON Web Token, aby odczytać jego zawartość, sprawdzić, czy nie wygasł, i zweryfikować podpis.
Zapieczętowane na tym urządzeniu
Działa w przeglądarce. Nic nie jest wysyłane.
Zapieczętowane
Dekodowanie i weryfikacja odbywają się na tym urządzeniu. Token nigdy nie jest nigdzie wysyłany.
Zdekodowany
Tutaj pojawią się nagłówek, payload i daty twojego tokena.
Nagłówek
Payload
Standardowe claimy
Zweryfikuj podpis (opcjonalnie)
Najpierw zdekoduj token. Jego algorytm wskaże, jaki klucz jest potrzebny.
PEM (-----BEGIN PUBLIC KEY-----) lub JWK w JSON. Nigdy nie wklejaj klucza prywatnego na stronie, której nie ufasz.
Jak to działa
-
Wklej token
Wklej JWT z nagłówka Authorization, pliku cookie lub logów. Początkowe „Bearer” jest pomijane.
-
Odczytaj zawartość
Nagłówek i payload są pokazywane jako sformatowany JSON, a exp, iat i nbf zamieniane na daty w twojej strefie czasowej.
-
W razie potrzeby zweryfikuj
Wpisz wspólny sekret lub wklej klucz publiczny, aby potwierdzić podpis, a token nie opuści przy tym twojego urządzenia.
Najczęściej zadawane pytania
Czy wklejanie tu prawdziwego tokena jest bezpieczne?
Token jest dekodowany i weryfikowany w przeglądarce i nigdy nie trafia na żaden serwer. Mimo to token jest jak tymczasowe hasło: nie udostępniaj go, a jeśli wyciekł gdzie indziej, unieważnij go.
Czy każdy może odczytać zawartość JWT?
Tak. Standardowy podpisany JWT jest tylko zakodowany w Base64url, a nie zaszyfrowany, więc każdy, kto go ma, może odczytać payload. Podpis dowodzi jedynie, że nikt go nie zmienił. Nigdy nie umieszczaj sekretów w payloadzie JWT.
Dlaczego widzę, że mój token wygasł?
Claim exp zawiera czas wygaśnięcia w sekundach od 1 stycznia 1970 (UTC). Jeśli według zegara twojego urządzenia ten moment już minął, token wygasł i serwery powinny go odrzucać.
Jakie podpisy można zweryfikować?
HMAC (HS256, HS384, HS512) ze wspólnym sekretem oraz RSA (RS256–512, PS256–512) i krzywe eliptyczne (ES256, ES384, ES512) z kluczem publicznym w formacie PEM lub JWK. Weryfikacja korzysta z wbudowanego w przeglądarkę Web Crypto.
Co oznaczają iss, sub i aud?
To standardowe claimy: iss to wystawca tokena, sub to podmiot, którego dotyczy (często ID użytkownika), a aud to odbiorca, dla którego jest przeznaczony. Pozostałe pola w payloadzie są specyficzne dla aplikacji, która utworzyła token.