JWT-Decoder
Füge ein JWT ein: Header und Payload werden dekodiert und übersichtlich formatiert, Ausstellungs- und Ablaufzeit erscheinen als lesbares Datum, und du bekommst eine Warnung, wenn das Token abgelaufen ist.
Was in einem JWT steckt
Ein JSON Web Token besteht aus drei durch Punkte getrennten Teilen: dem Header (dem Signaturalgorithmus,
etwa HS256 oder RS256), der Payload (den „Claims“: wer du bist,
wann das Token ausgestellt wurde, wann es abläuft) und der Signatur. Die ersten beiden
Teile sind nur Base64URL-kodiert, nicht verschlüsselt. Jeder, der das Token erhält, kann sie lesen, und
genau das macht dieses Tool. Die zeitbezogenen Claims iat (issued at, ausgestellt am),
exp (expires at, läuft ab am) und nbf (not valid before, nicht gültig vor) sind Unix-Zeitstempel in
Sekunden: Hier werden sie in lesbare Datumsangaben in deiner lokalen Zeitzone umgewandelt.
Achtung: Dieses Tool prüft die Signatur nicht
Dekodieren ist nicht dasselbe wie Validieren: Zum Prüfen der Signatur bräuchte man den geheimen Schlüssel oder den öffentlichen Schlüssel des Ausstellers, die dieses Tool nicht hat und nie verlangt. Ein Token, das sich sauber dekodieren lässt, kann trotzdem gefälscht oder manipuliert sein: Die Signaturprüfung gehört immer auf den Server. Noch ein wichtiger Tipp: Füge keine sensiblen Produktions-Tokens ein (aktive Sessions, API-Keys). Auch wenn hier nichts deinen Browser verlässt, ist ein gültiges Token, das herumkopiert wird, wie ein Passwort auf einem Klebezettel. Nutze Test-Tokens oder solche, die schon abgelaufen sind.