Ein JWT dekodieren
Dekodieren Sie Header und Payload eines JSON Web Tokens (JWT) direkt in Ihrem Browser, um dessen Inhalt zu überprüfen.
Ein JWT besteht aus drei durch Punkte getrennten Teilen: Header, Payload und Signatur. Dieses Tool dekodiert die ersten beiden (die Base64URL-kodiert, nicht verschlüsselt sind), um deren Inhalt als lesbares JSON anzuzeigen.
Anwendungsfälle
- Ein Authentifizierungstoken während der Entwicklung debuggen.
- Prüfen, welche Claims ein JWT enthält.
- Das Ablaufdatum eines Tokens überprüfen.
So funktioniert's
- 1
Token einfügen
Kopieren Sie das vollständige JWT (mit seinen drei durch Punkte getrennten Teilen).
- 2
Inhalt überprüfen
Header und Payload werden dekodiert und formatiert angezeigt.
Technische Details
- Es teilt den Token an den Punkten in Header, Payload und Signatur und dekodiert die ersten beiden von Base64URL in JSON. Ein verschlüsseltes JWT (JWE, fünf Teile) lässt sich so nicht lesen.
- Signatur und Ablauf werden nicht geprüft: Jeder kann einen Token in dieser Form erzeugen. Ob er gültig ist, zeigt nur die Prüfung der Signatur mit dem Schlüssel des Ausstellers.
- Die Standardzeitangaben (exp, iat, nbf) erscheinen als Sekunden seit 1970 (Unix-Zeit); wandeln Sie sie mit dem Unix-Zeitstempel-Konverter in ein Datum um.
- Der Token verlässt den Browser nicht, doch ein Sitzungs-JWT ist wie ein temporäres Passwort: Fügen Sie ihn nicht in Tools ein, deren Umgang damit Sie nicht kennen.
Häufige Fragen
Überprüft dieses Tool, ob das Token authentisch ist?
Nein. Das Dekodieren zeigt nur den Inhalt des Tokens; es prüft weder die Signatur noch, ob das Token von einer vertrauenswürdigen Quelle ausgestellt wurde. Dafür müssen Sie die Signatur mit dem entsprechenden geheimen oder öffentlichen Schlüssel verifizieren.
Ist der Inhalt eines JWT verschlüsselt?
Nein, Header und Payload eines Standard-JWT (JWS) sind nur Base64URL-kodiert, nicht verschlüsselt: Jeder kann sie ohne Schlüssel lesen.