JWT-Token-Decoder
Dekodieren Sie JWT-Tokens – lesen Sie den Header und die Nutzlast sofort.
Decoded standard claims
Decoding only — the signature is not verified. Never paste production secrets.
So verwenden Sie JWT-Token-Decoder
- Fügen Sie das JWT ein – die Zeichenfolge „header.payload.signature“.
- Lesen Sie den dekodierten Header und die Nutzlast – Algorithmus, Ansprüche, Zeitstempel.
- Überprüfen Sie zuerst exp beim Debuggen der Authentifizierung – abgelaufene Token sind die Hauptursache für 401-Fehler.
- Denken Sie daran: Dekodierung ≠ Überprüfung – Ihr Server muss immer die Signatur validieren, bevor man Ansprüchen vertraut.
Was ist JWT-Token-Decoder?
Ein JWT-Decoder entpackt ein JSON-Web-Token – die durch Punkte getrennte Zeichenfolge header.payload.signature, die Authentifizierungs- und Sitzungsdaten über das moderne Web überträgt – in lesbares JSON. Es dekodiert den Base64URL-Header (Algorithmus, Typ) und die Nutzlast (die Ansprüche: Benutzer-ID, Rollen, Ablauf, Aussteller), sodass Sie genau sehen können, was ein Token behauptet.
Das Wichtigste, das Sie verstehen müssen: Ein JWT ist codiert, nicht verschlüsselt. Jeder kann die Nutzdaten entschlüsseln und lesen – es ist Base64, kein Geheimnis. Die Signatur verbirgt die Daten nicht; Es beweist, dass die Daten nicht manipuliert wurden. JWTs dürfen also niemals Geheimnisse in sich tragen, und wenn man sie entschlüsselt, wird alles enthüllt, was sie enthält.
Über den JWT-Token-Decoder
Fügen Sie ein JWT ein und lesen Sie seinen dekodierten Header und seine Nutzlast – angelegte Ansprüche, Ablauf und interpretierte Zeitstempel – alles in Ihrem Browser.
Wo es seinen Platz verdient: Debugging-Authentifizierung – die tägliche Verwendung: Eine API gibt 401 zurück, und die Decodierung des Tokens zeigt, ob es abgelaufen ist (der exp-Anspruch vs. now – die häufigste Ursache), eine Rolle fehlt oder für den Falschen ausgegeben wurde Publikum; Ansprüche überprüfen – Bestätigen, dass ein Token die Benutzer-ID, Berechtigungen und Bereiche enthält, die Ihre App erwartet; Ablaufdatum lesen – exp, iat und nbf als menschliche Daten, Diagnose von „zu früh abgemeldet“ und Problemen mit der Zeitverschiebung; und erlernen, wie die JWT-Authentifizierung funktioniert – der Anblick echter Token entmystifiziert den gesamten Ablauf.
Dies unterstreicht die wesentlichen Sicherheitsaspekte: Durch die Dekodierung wird NICHT überprüft – eine gültig aussehende dekodierte Nutzlast könnte gefälscht sein; Nur die Überprüfung der Signatur anhand des geheimen/öffentlichen Schlüssels (serverseitig) beweist die Authentizität, und Ihre App muss dies immer tun. Vertrauen Sie niemals den Behauptungen eines Zeugen Jehovas, ohne dessen Unterschrift zu überprüfen. Und da durch die Dekodierung die Nutzlast offengelegt wird, behandeln Sie Produktionstokens wie die Anmeldeinformationen, die sie sind – dieser Decoder läuft vollständig clientseitig, sodass nichts, was Sie einfügen, übertragen wird. Informationen zur Signaturseite finden Sie unter HMAC (das HS256-Signaturen erstellt).