JWT-Decoder

Fügen Sie ein JSON Web Token ein, um Header und Inhalt (Claims) zu sehen, zu prüfen, ob es abgelaufen ist, und – wenn Sie den geheimen Schlüssel kennen – die Signatur zu verifizieren.

Token dekodieren

Das Token wird in Ihrem Browser dekodiert und an keinen Server gesendet.
Algorithmus
Ausgestellt (iat)
Gültig ab (nbf)
Läuft ab (exp)
Signatur

Signatur prüfen (HMAC)

Ist das Token mit HS256, HS384 oder HS512 signiert, geben Sie den geheimen Schlüssel ein, um die Signatur zu prüfen.

Was ist ein JWT?

Ein JSON Web Token (JWT, RFC 7519) ist ein kompaktes Format, um signierte Informationen zwischen zwei Parteien zu übertragen. Es dient vor allem der Authentifizierung in APIs und Webanwendungen: Nach der Anmeldung stellt der Server ein Token aus, das der Client bei jeder Anfrage mitsendet, meist im Header Authorization: Bearer.

Ein JWT besteht aus drei durch Punkte getrennten Teilen: dem Header (Algorithmus und Typ), dem Payload (den Daten oder Claims) und der Signatur. Die ersten beiden sind Base64URL-kodiertes JSON.

Gängige Claims

iss (Aussteller), sub (Subjekt, meist die Benutzer-ID), aud (Empfänger), exp (Ablaufzeit), nbf (nicht gültig vor), iat (Ausstellungszeit) und jti (eindeutige Kennung). Zeitangaben werden als Unix-Timestamp in Sekunden angegeben.

Ist es sicher, mein Token hier einzufügen?

Diese Seite dekodiert das Token per JavaScript in Ihrem eigenen Browser: Es wird weder gesendet noch gespeichert. Bedenken Sie dennoch, dass der Payload eines JWT nicht verschlüsselt, sondern nur kodiert ist: Jeder, der das Token besitzt, kann ihn lesen. Speichern Sie darin also keine vertraulichen Informationen und behandeln Sie Produktions-Token wie Passwörter.