JWT-Dekoder
Ein JSON Web Token dekodieren und Header, Payload und Ablauf lesen.
JSON Web Token
Datenschutz von Anfang an. Tokens werden in deinem Browser dekodiert und nie übertragen. Behandle dennoch jedes Token, das du irgendwo einfügst, als kompromittiert und rotiere es, wenn es eine Produktionsberechtigung ist.
Häufige Fragen
Was ist ein JWT-Dekoder?
Er zerlegt ein JSON Web Token in Header- und Payload-Segment und dekodiert sie per base64url, damit du die Angaben lesen kannst. Das Signatursegment wird angezeigt, aber nicht interpretiert.
Prüft dieses Werkzeug die JWT-Signatur?
Nein, und das ist Absicht. Zum Prüfen braucht man das Signaturgeheimnis oder den öffentlichen Schlüssel, und die solltest du nie in eine Website einfügen. Prüfe Signaturen im eigenen Backend oder mit einer lokalen CLI.
Ist es sicher, hier ein Token einzufügen?
Die Dekodierung passiert vollständig in deinem Browser, ohne Netzwerkanfrage. Dennoch sollte jedes Token, das in irgendein Werkzeug eingefügt wurde, als offengelegt gelten. Nutze wenn möglich abgelaufene oder Test-Tokens.
Warum wird mein Token als abgelaufen angezeigt?
Die Angabe `exp` ist ein Unix-Zeitstempel in Sekunden. Das Werkzeug vergleicht ihn mit der Uhr deines Geräts, daher kann auch eine falsche Systemzeit auf deinem Rechner ein gültiges Token abgelaufen erscheinen lassen.
Über JWT-Dekoder
Ein JSON Web Token besteht aus drei durch Punkte getrennten base64url-Segmenten: Header, Payload und Signatur. Die ersten beiden sind kodiert, nicht verschlüsselt – wer das Token besitzt, kann sie also lesen. Dieser Dekoder zerlegt das Token, dekodiert beide Segmente und stellt die Standard-Zeitangaben (iat, nbf, exp) als lesbare Daten samt laufendem Countdown bis zum Ablauf dar.
Eine Signaturprüfung wird bewusst nicht angeboten. Zum Prüfen braucht man das Signaturgeheimnis oder den öffentlichen Schlüssel, und einen Produktions-Signaturschlüssel in eine Webseite einzufügen ist genau die Gewohnheit, die dieses Werkzeug nicht fördern soll.