JWT-Decoder
Header und Payload eines JSON Web Tokens dekodieren. Der Token wird nirgendwohin gesendet
Tool wird geladen…
Dekodiert ein JSON Web Token: Fügen Sie es ein, um Header und Payload als JSON zu sehen, wobei Zeit-Claims wie das Ablaufdatum in lesbare Daten umgewandelt werden. Damit prüfen Sie den Inhalt eines Tokens und ob es abgelaufen ist, wenn eine Anmeldung oder ein API-Aufruf fehlschlägt.
So geht’s
- Fügen Sie ein JWT, das mit eyJ beginnt, in „Token“ ein. Ein vorangestelltes „Bearer “ wird ignoriert.
- Sehen Sie sich das JSON in „Header“ und „Payload“ sowie den Teil „Signatur“ an.
- Lesen Sie in der Tabelle „Claims“ Ausstellungs- und Ablaufzeit sowie einen Status wie „Abgelaufen“ oder „Gültig“ ab.
- Um zu prüfen, ob dem Token vertraut werden kann, geben Sie unter „Signatur prüfen (optional)“ das Secret oder den öffentlichen Schlüssel ein.
So wird gerechnet
- Ein JWT besteht aus drei durch Punkte getrennten Teilen: header.payload.signature. Die ersten beiden sind Base64url-kodiertes JSON und lassen sich daher ohne Schlüssel lesen. exp, nbf und iat sind Sekunden seit dem 1. Januar 1970 (UTC).
- Die Prüfung verwendet Web Crypto für HS, RS, PS und ES (256/384/512) sowie EdDSA, wo der Browser es unterstützt. Öffentliche Schlüssel können als PEM, Zertifikat, JWK oder JWKS angegeben werden. Tokens mit alg „none“ erhalten eine Warnung.
- Dekodierung und Prüfung laufen in Ihrem Browser; Token und Schlüssel werden weder gespeichert noch gesendet. Verwenden Sie dennoch lieber Test-Tokens oder abgelaufene Tokens als Tokens aus Produktivsystemen.
Häufige Fragen
- Wie sehe ich, wann ein JWT abläuft?
- Fügen Sie das Token ein. „Läuft ab am“ (exp) in der Tabelle „Claims“ zeigt Datum und Uhrzeit, und die Statusspalte zeigt die verbleibende Zeit oder „Abgelaufen“.
- Ist ein JWT verschlüsselt?
- Ein normales JWT (JWS) ist signiert, nicht verschlüsselt, daher kann jeder seinen Inhalt lesen. Legen Sie keine Passwörter oder andere Geheimnisse darin ab. Ein Token mit 5 Teilen ist ein verschlüsseltes JWE und lässt sich ohne den Schlüssel nicht lesen.
- Beweist das Dekodieren, dass ein Token echt ist?
- Nein. Jeder kann den Inhalt ändern, vertrauen kann man nur einer Signatur, die mit dem richtigen Schlüssel geprüft wurde. Geben Sie den Schlüssel unter „Signatur prüfen (optional)“ ein, um „Signatur gültig“ oder „Signatur ungültig“ zu sehen.