JWT-avkodare
Klistra in en JSON Web Token för att läsa innehållet, se om den har gått ut och verifiera signaturen.
Förseglat på den här enheten
Körs i din webbläsare. Inget laddas upp.
Förseglat
Avkodning och verifiering sker på den här enheten. Din token skickas aldrig någonstans.
Avkodad
Din tokens header, payload och datum visas här.
Header
Payload
Registrerade claims
Verifiera signaturen (valfritt)
Avkoda en token först. Dess algoritm visar vilken nyckel som behövs.
PEM (-----BEGIN PUBLIC KEY-----) eller JWK i JSON. Klistra aldrig in en privat nyckel på en webbplats du inte litar på.
Så fungerar det
-
Klistra in din token
Klistra in en JWT från en Authorization-header, en cookie eller dina loggar. Ett inledande ”Bearer” ignoreras.
-
Läs innehållet
Header och payload visas som formaterad JSON, och exp, iat och nbf görs om till datum i din tidszon.
-
Verifiera vid behov
Ange den delade hemligheten eller klistra in den publika nyckeln för att bekräfta signaturen, utan att din token lämnar enheten.
Vanliga frågor
Är det säkert att klistra in en riktig token här?
Din token avkodas och verifieras i webbläsaren och skickas aldrig till någon server. En token är ändå som ett tillfälligt lösenord: undvik att dela den, och återkalla den om den har exponerats någon annanstans.
Kan vem som helst läsa innehållet i en JWT?
Ja. En vanlig signerad JWT är bara Base64url-kodad, inte krypterad, så alla som har den kan läsa payloaden. Signaturen bevisar bara att ingen har ändrat den. Lägg aldrig hemligheter i en JWT:s payload.
Varför står det att min token har gått ut?
Claimet exp innehåller utgångstiden, i sekunder sedan 1 januari 1970 (UTC). Om den tidpunkten har passerat enligt klockan på din enhet har din token gått ut och servrar bör avvisa den.
Vilka signaturer kan verifieras?
HMAC (HS256, HS384, HS512) med en delad hemlighet, samt RSA (RS256–512, PS256–512) och elliptiska kurvor (ES256, ES384, ES512) med en publik nyckel i PEM- eller JWK-format. Verifieringen använder webbläsarens inbyggda Web Crypto.
Vad betyder iss, sub och aud?
Det är standardiserade claims: iss är vem som utfärdade din token, sub är vem den gäller (ofta ett användar-id) och aud är vem den är avsedd för. Övriga fält i payloaden är specifika för applikationen som skapade token.