JWT-Decoder

So funktioniert es

1. Das Token in das Feld einfügen. Ein führendes "Bearer " wird ignoriert, Sie können also den Wert eines Authorization-Headers unverändert einfügen.
2. Den dekodierten Header und die Payload ansehen. Die Schaltfläche Kopieren neben jeder Überschrift kopiert das formatierte JSON.
3. Enthält die Payload einen exp-Claim, zeigt die Zeile darüber Abgelaufen oder Nicht abgelaufen sowie die verbleibende bzw. vergangene Zeit, sekündlich aktualisiert.
4. Die Tabelle zeigt iat (ausgestellt), nbf (gültig ab) und exp (läuft ab) als Datum in Ihrer lokalen Zeitzone, jeweils mit relativer Zeitangabe.
5. Unter Signatur bei einem HS256-, HS384- oder HS512-Token das Geheimnis in das Feld Geheimer Schlüssel (HMAC) eingeben, um zu sehen, ob die Signatur gültig ist.

Häufige Fragen

Ist ein Token gültig, wenn es sich dekodieren lässt?

Nein. Header und Payload sind nur Base64URL-kodiert, jeder kann sie lesen oder neue erstellen. Vertrauenswürdig ist ein Token nur, wenn seine Signatur mit dem richtigen Schlüssel geprüft ist und alg, exp, nbf, iss und aud den Werten entsprechen, die Ihre Anwendung erwartet; dieses Tool kann die Signatur für HS256/384/512 prüfen, wenn Sie das Geheimnis eingeben.

Welche Signaturalgorithmen lassen sich prüfen?

Nur HMAC: HS256, HS384 und HS512. Public-Key-Verfahren wie RS256, ES256 und PS256 benötigen den öffentlichen Schlüssel des Ausstellers, den dieses Tool nicht entgegennimmt; solche Tokens werden nur dekodiert. Das Geheimnis wird als reiner Text (UTF-8) verwendet; ein Base64-kodiertes Geheimnis wird nicht vorher dekodiert.

Wie werden iat, nbf und exp ausgewertet?

Sie werden als Sekunden seit 1970-01-01 UTC gelesen und in Ihrer lokalen Zeitzone angezeigt; nicht numerische Werte erscheinen nicht in der Tabelle. Der Status Abgelaufen / Nicht abgelaufen richtet sich nur nach exp – ob das Token schon verwendbar ist, sehen Sie an nbf.

Warum heißt es, dies sei kein gültiges JWT?

Die Eingabe muss aus drei durch Punkte getrennten Teilen bestehen, und die ersten beiden müssen Base64URL-kodierte JSON-Objekte sein. Verschlüsselte Tokens (JWE, fünf Teile) sowie abgeschnittene oder falsch kopierte Tokens lassen sich nicht dekodieren.

Werden mein Token oder mein Geheimnis an einen Server gesendet?

Nein. Dekodieren und Prüfen geschehen in Ihrem Browser; Token und Geheimnis werden weder an unseren Server noch anderswohin gesendet.