Декодер JWT
Вставте JSON Web Token, щоб прочитати його вміст, перевірити, чи не минув термін дії, і перевірити підпис.
Запечатано на цьому пристрої
Працює у вашому браузері. Нічого не завантажується на сервер.
Запечатано
Декодування й перевірка відбуваються на цьому пристрої. Токен нікуди не надсилається.
Декодовано
Тут з’являться заголовок, payload і дати вашого токена.
Заголовок
Payload
Зареєстровані claims
Перевірити підпис (необов’язково)
Спочатку декодуйте токен. Його алгоритм покаже, який ключ потрібен.
PEM (-----BEGIN PUBLIC KEY-----) або JWK у форматі JSON. Ніколи не вставляйте приватний ключ на сайт, якому не довіряєте.
Як це працює
-
Вставте токен
Вставте JWT із заголовка Authorization, cookie чи журналів. Префікс «Bearer» на початку ігнорується.
-
Прочитайте вміст
Заголовок і payload показано як відформатований JSON, а exp, iat і nbf перетворено на дати у вашому часовому поясі.
-
За потреби перевірте
Введіть спільний секрет або вставте відкритий ключ, щоб підтвердити підпис, — і все це без того, щоб токен залишав ваш пристрій.
Поширені запитання
Чи безпечно вставляти сюди справжній токен?
Токен декодується й перевіряється у вашому браузері та ніколи не надсилається на сервер. Проте токен — це як тимчасовий пароль: не діліться ним, а якщо він десь потрапив у відкритий доступ, відкличте його.
Чи може будь-хто прочитати вміст JWT?
Так. Стандартний підписаний JWT лише закодовано в Base64url, а не зашифровано, тож будь-хто, у кого він є, може прочитати payload. Підпис лише доводить, що його ніхто не змінював. Ніколи не кладіть секрети в payload JWT.
Чому інструмент каже, що термін дії мого токена минув?
Claim exp містить час закінчення дії в секундах від 1 січня 1970 року (UTC). Якщо за годинником вашого пристрою цей момент уже настав, термін дії токена минув і сервери мають його відхиляти.
Які підписи можна перевірити?
HMAC (HS256, HS384, HS512) зі спільним секретом, а також RSA (RS256–512, PS256–512) і еліптичні криві (ES256, ES384, ES512) з відкритим ключем у форматі PEM чи JWK. Для перевірки використовується вбудований у браузер Web Crypto.
Що означають iss, sub і aud?
Це стандартні claims: iss — хто видав токен, sub — кого він стосується (часто ID користувача), а aud — для кого він призначений. Інші поля в payload специфічні для застосунку, який створив токен.