JWT-Decoder
Dekodieren und inspizieren Sie JSON Web Tokens (JWT) mit detaillierter Claim-Analyse
Token-Struktur
00
Algorithmus
—
Claims
0
Token-Status
—
Fügen Sie Ihr JWT Token hier ein...
01
Was ist ein JWT?
Ein JSON Web Token, kurz JWT, ist eine kompakte Zeichenkette mit Claims, etwa wer ein Nutzer ist und wann der Zugriff abläuft. Es besteht aus drei durch Punkte getrennten Teilen: Header, Payload und Signatur. Header und Payload sind JSON in URL-sicherem Base64 und damit für jeden lesbar. Mit der Signatur kann ein Server bestätigen, dass das Token nicht verändert wurde.
Dieser Decoder zerlegt das Token, zeigt Header und Payload als formatiertes JSON und macht aus den Claims exp, iat und nbf lesbare Daten mit einem Live-Ablaufstatus. Er dekodiert nur und prüft die Signatur nicht. Das Token wird in Ihrem Browser dekodiert und nie hochgeladen. So können Sie Produktions-Tokens ansehen, ohne sie an Dritte zu senden.
02
So dekodieren Sie ein JWT
- Fügen Sie das Token ein oder klicken Sie auf „Beispiel laden“, um es auszuprobieren.
- Lesen Sie im Header den Signaturalgorithmus und den Token-Typ.
- Lesen Sie in der Payload die Claims; Zeitangaben erscheinen in Ihrer Ortszeit.
- Prüfen Sie am Token-Status, ob das Token aktiv oder abgelaufen ist.
- Kopieren Sie Header oder Payload als JSON, wenn Sie sie anderswo brauchen.
03
Häufige Fragen zum JWT-Decoder
- Was sind Header, Payload und Signatur eines JWT?
- Der Header nennt den Signaturalgorithmus, etwa HS256 oder RS256, und den Token-Typ. Die Payload enthält die Claims: registrierte wie sub, iss, aud und exp sowie beliebige eigene Daten. Die Signatur wird aus Header und Payload mit einem Secret oder einem privaten Schlüssel berechnet. Jede Änderung an einem der beiden Teile macht sie ungültig.
- Ist es sicher, ein JWT hier einzufügen?
- Das Token wird in diesem Browser-Tab dekodiert und nie an einen Server gesendet, protokolliert oder gespeichert. Ein Produktions-Token wird hier also nicht preisgegeben. Behandeln Sie Tokens trotzdem wie Passwörter: Wer ein gültiges Token hat, kann es bis zum Ablauf nutzen. Leeren Sie das Eingabefeld, wenn Sie fertig sind, und teilen Sie keine Screenshots der Payload.
- Was bedeuten exp, iat und nbf?
- Das sind Unix-Timestamps in Sekunden. exp ist die Ablaufzeit, danach muss das Token abgelehnt werden. iat ist der Ausstellungszeitpunkt, und nbf ist der Zeitpunkt, vor dem das Token nicht akzeptiert werden darf. Der Decoder zeigt jeden Wert als Datum in Ihrer Ortszeit. Andere Timestamps rechnen Sie mit dem Unix-Timestamp-Umrechner um.
- Prüft dieses Tool die JWT-Signatur?
- Nein. Es dekodiert Header und Payload, prüft aber die Signatur nicht. Ein dekodiertes Token ist also kein Beweis für seine Echtheit. Zur Prüfung braucht man bei HMAC-Algorithmen das Secret, bei RSA und ECDSA den öffentlichen Schlüssel. Sie gehört auf Ihren Server und sollte mit einer gepflegten JWT-Bibliothek erfolgen.
04