JWT декодер
Вставьте JSON Web Token, чтобы прочитать его содержимое, узнать, не истёк ли он, и проверить подпись.
Запечатано на этом устройстве
Работает в вашем браузере. Ничего не загружается на сервер.
Запечатано
Декодирование и проверка выполняются на этом устройстве. Токен никуда не отправляется.
Декодировано
Здесь появятся заголовок, полезная нагрузка и даты вашего токена.
Заголовок
Полезная нагрузка
Зарегистрированные поля (claims)
Проверка подписи (необязательно)
Сначала декодируйте токен. Его алгоритм подскажет, какой ключ нужен.
PEM (-----BEGIN PUBLIC KEY-----) или JWK в формате JSON. Никогда не вставляйте закрытый ключ на сайт, которому не доверяете.
Как это работает
-
Вставьте токен
Вставьте JWT из заголовка Authorization, cookie или логов. Префикс «Bearer» в начале игнорируется.
-
Изучите содержимое
Заголовок и полезная нагрузка показываются как отформатированный JSON, а exp, iat и nbf превращаются в даты в вашем часовом поясе.
-
При необходимости проверьте
Введите общий секрет или вставьте открытый ключ, чтобы подтвердить подпись, — токен при этом не покидает ваше устройство.
Частые вопросы
Безопасно ли вставлять сюда настоящий токен?
Токен декодируется и проверяется в вашем браузере и никогда не отправляется на сервер. Тем не менее токен похож на временный пароль: не делитесь им и отзовите его, если он где-то засветился.
Может ли кто угодно прочитать содержимое JWT?
Да. Обычный подписанный JWT лишь закодирован в Base64url, а не зашифрован, поэтому любой, у кого он есть, может прочитать полезную нагрузку. Подпись только доказывает, что её никто не изменял. Никогда не храните секреты в полезной нагрузке JWT.
Почему указано, что мой токен истёк?
Поле exp содержит время истечения в секундах с 1 января 1970 года (UTC). Если по часам вашего устройства этот момент прошёл, токен истёк, и серверы должны его отклонять.
Какие подписи можно проверить?
HMAC (HS256, HS384, HS512) с общим секретом, а также RSA (RS256–512, PS256–512) и эллиптические кривые (ES256, ES384, ES512) с открытым ключом в формате PEM или JWK. Проверка использует встроенный в браузер Web Crypto.
Что означают iss, sub и aud?
Это стандартные поля: iss — кто выпустил токен, sub — к кому он относится (часто ID пользователя), aud — для кого он предназначен. Остальные поля полезной нагрузки зависят от приложения, создавшего токен.