JWT

Ein kostenloser Online-JWT-Decoder und -Viewer, der ein JSON Web Token in seine drei Teile aufteilt — Header, Payload und Signatur — und den dekodierten Header und die Payload als lesbares JSON anzeigt. Verwende ihn, um die Claims innerhalb eines Bearer-Tokens beim Debuggen einer API zu untersuchen, um zu bestätigen, welchen Signaturalgorithmus und welche Key-ID ein Token deklariert, oder um zu prüfen, wann ein Token abläuft. Das Dekodieren geschieht vollständig in deinem Browser, sodass das Token niemals an einen Server übertragen wird — ein wichtiger Unterschied zu Diensten, die serverseitig dekodieren. Beachte, dass dieses Tool ein Token zur Untersuchung liest; es verifiziert nicht die Signatur, wofür das Signaturgeheimnis oder der öffentliche Schlüssel erforderlich wäre.

Häufige Anwendungen

• Untersuche die Claims (sub, exp, iat) innerhalb eines Bearer-Tokens beim Debuggen einer API.
• Bestätige, welchen Algorithmus (alg) und welche Key-ID (kid) ein Token in seinem Header deklariert.
• Prüfe den Ablauf eines Tokens, ohne es in einen Online-Dienst einzufügen, den du nicht kontrollierst.
• Lies die Payload eines von einem Auth-Provider zurückgegebenen Tokens, um die ausgegebenen Scopes zu sehen.
• Vergleiche zwei Tokens, um zu erkennen, welcher Claim sich zwischen den Anfragen geändert hat.

Häufig gestellte Fragen

Verifiziert dies die JWT-Signatur?

Nein. Dieses Tool dekodiert den Header und die Payload zur Untersuchung; es verifiziert nicht die Signatur, wofür das Signaturgeheimnis oder der öffentliche Schlüssel erforderlich ist.

Ist es sicher, hier ein echtes Token einzufügen?

Das Dekodieren läuft vollständig in deinem Browser, und das Token wird niemals übertragen. Behandle Produktions-Tokens dennoch mit Vorsicht und vermeide es, die dekodierte Ausgabe zu teilen.

Was sind die drei Teile eines JWT?

Ein JWT hat einen Header (Algorithmus und Token-Typ), eine Payload (die Claims) und eine Signatur — verbunden durch Punkte. Dieses Tool base64url-dekodiert den Header und die Payload und zeigt sie als JSON an.

Warum wird die Signatur angezeigt, aber nicht dekodiert?

Die Signatur ist ein kryptografischer Wert, keine kodierten Daten, sodass sie keine menschenlesbare Form hat. Sie wird zur Verifizierung des Tokens verwendet, wofür der Signaturschlüssel erforderlich ist.

Kann ich erkennen, ob ein Token abgelaufen ist?

Ja. Die dekodierte Payload zeigt die Claims exp (Ablauf) und iat (ausgestellt am) als Zeitstempel an, sodass du sehen kannst, ob das Token noch gültig ist.