Декодер JWT
Расшифровывает заголовок и полезную нагрузку JSON Web Token. Токен никуда не отправляется
Загрузка инструмента…
Декодирует JSON Web Token: вставьте его, чтобы увидеть заголовок и полезную нагрузку в виде JSON, а временные утверждения, например срок действия, — в виде понятных дат. Пригодится, чтобы проверить содержимое токена и не истёк ли он, когда не работает вход или вызов API.
Как пользоваться
- Вставьте JWT, начинающийся с eyJ, в поле «Токен». Префикс «Bearer » в начале игнорируется.
- Посмотрите JSON в разделах «Заголовок» и «Полезная нагрузка» и часть «Подпись».
- В таблице «Утверждения (claims)» посмотрите время выпуска и истечения и статус, например «Истёк» или «Действует».
- Чтобы проверить, можно ли доверять токену, введите секрет или открытый ключ в разделе «Проверить подпись (необязательно)».
Как это работает
- JWT состоит из трёх частей, разделённых точками: header.payload.signature. Первые две — это JSON в кодировке Base64url, поэтому их можно прочитать без ключа. exp, nbf и iat — это секунды с 1 января 1970 года (UTC).
- Проверка использует Web Crypto для HS, RS, PS и ES (256/384/512), а также EdDSA, если браузер его поддерживает. Открытые ключи можно указать в формате PEM, сертификата, JWK или JWKS. Для токенов с alg "none" выводится предупреждение.
- Декодирование и проверка выполняются в вашем браузере; токен и ключи не сохраняются и не отправляются. И всё же лучше использовать тестовые или истёкшие токены, а не токены из рабочих систем.
Частые вопросы
- Как узнать, когда истекает JWT?
- Вставьте токен. Строка «Истекает» (exp) в таблице «Утверждения (claims)» показывает дату и время, а в столбце статуса — оставшееся время или «Истёк».
- JWT зашифрован?
- Обычный JWT (JWS) подписан, но не зашифрован, поэтому его содержимое может прочитать любой. Не помещайте в него пароли и другие секреты. Токен из 5 частей — это зашифрованный JWE, и без ключа его не прочитать.
- Доказывает ли декодирование, что токен подлинный?
- Нет. Содержимое может изменить кто угодно, поэтому доверять можно только подписи, проверенной правильным ключом. Введите ключ в разделе «Проверить подпись (необязательно)», чтобы увидеть «Подпись верна» или «Подпись неверна».