JWT-Decoder (JSON Web Token)
Füge ein JWT ein und sieh Header und Payload als lesbares JSON, mit erklärten Ausstellungs- und Ablaufdaten und dem Status des Tokens (gültig, abgelaufen oder noch nicht gültig). Bei HMAC-Tokens kannst du die Signatur mit deinem Secret prüfen. Alles läuft in deinem Browser: Token und Secret werden nirgendwohin gesendet.
Zu 100 % in deinem Browser verarbeitet
Dekodieren ist nicht Verifizieren: Jeder kann ein JWT lesen. Alles läuft im Browser, das Token wird nirgendwohin gesendet.
Füge ein Token ein, um es zu dekodieren.
Ctrl + Enter ausführenCtrl + C Ergebnis kopieren
So funktioniert es
- 1Kopiere das Token (auch mit dem Präfix „Bearer “) und füge es in das Feld ein.
- 2Lies Header, Payload und die Daten exp, iat und nbf samt Status.
- 3Zum Prüfen der Signatur eines HS256-, HS384- oder HS512-Tokens gib das Secret ein.
- 4Kopiere das JSON von Header oder Payload mit den Buttons.
Anwendungsfälle
- Debuggen, warum eine API ein Token ablehnt: abgelaufen, falsche Audience oder fehlende Rechte.
- Prüfen, welche Claims ein Token enthält, bevor du es in einer Integration nutzt.
- Das Ablaufdatum eines Access- oder Refresh-Tokens kontrollieren.
- Lokal verifizieren, dass ein HMAC-signiertes Token nicht verändert wurde.
Häufig gestellte Fragen
Ist das Dekodieren eines JWT dasselbe wie Verifizieren?
Nein. Den Inhalt eines JWT kann jeder lesen, da er nur Base64URL-kodiert ist. Die Verifizierung prüft die Signatur und braucht den Schlüssel; ohne ihn weißt du nicht, ob das Token echt ist.
Ist es sicher, mein Token hier einzufügen?
Das Token wird in deinem Browser dekodiert und weder an einen Server gesendet noch gespeichert. Trotzdem solltest du Produktiv-Tokens mit sensiblen Rechten nicht auf Seiten einfügen, die du nicht kontrollierst.
Welche Algorithmen kann ich prüfen?
HS256, HS384 und HS512, die ein gemeinsames Secret nutzen. RS256-, ES256-Tokens und ähnliche werden mit einem privaten Schlüssel signiert und mit dem öffentlichen geprüft, den dieses Tool nicht abfragt.
Was bedeuten exp, iat und nbf?
exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt und nbf der Beginn der Gültigkeit. Es sind Sekunden seit 1970 (Unixzeit); hier siehst du sie auch als lesbares Datum.
Was ist alg: none?
Ein unsigniertes Token. Es ist ein Sicherheitsrisiko, wenn ein Server es akzeptiert – deshalb warnt dich das Tool.