JWT-Decoder

Ein Token lesen, ohne ihm zu vertrauen

Ein JWT besteht aus drei Base64URL-kodierten Teilen, die durch Punkte verbunden sind: einem Header, der den Algorithmus nennt, einer Payload aus Claims und einer Signatur über beide. Die ersten beiden kann jeder lesen, weshalb ein Token niemals etwas Geheimes enthalten darf. Nur die Signatur beweist, dass das Token von jemandem stammt, der den Schlüssel kennt.

Was der Decoder anzeigt

• Header. Der Signaturalgorithmus (alg) und der Tokentyp, manchmal auch eine Schlüssel-ID (kid), die angibt, welcher Schlüssel signiert hat.
• Payload. Die Claims: auf wen sich das Token bezieht (sub), wer es ausgestellt hat (iss), für wen es gedacht ist (aud) und alles, was Ihre Anwendung hinzufügt.
• Zeiten. iat, nbf und exp sind Sekunden seit 1970. Der Decoder zeigt sie als Datum in Ihrer Zeitzone an und gibt an, ob das Token abgelaufen oder noch nicht gültig ist.
• Signatur. Bei HS256, HS384 und HS512 geben Sie das Secret ein, und der Decoder berechnet die Signatur neu und sagt Ihnen, ob sie übereinstimmt. Mit RS-, ES- oder PS-Algorithmen signierte Tokens werden wie gewohnt dekodiert, zu ihrer Verifizierung wird aber der öffentliche Schlüssel des Ausstellers benötigt.

Häufige Fragen

Wie dekodiere ich ein JWT?

Fügen Sie das Token in das Eingabefeld ein. Header und Payload werden schon beim Tippen dekodiert und formatiert, und die Zeit-Claims erscheinen als lesbare Datumsangaben.

Kann jeder den Inhalt meines JWT lesen?

Ja. Header und Payload sind nur kodiert, nicht verschlüsselt, daher kann sie jeder lesen, der das Token besitzt. Legen Sie niemals Passwörter oder andere Geheimnisse in der Payload eines JWT ab.

Wie verifiziere ich eine JWT-Signatur?

Geben Sie bei HS256-, HS384- oder HS512-Tokens das Secret im Bereich „Signatur“ ein und wählen Sie, ob es Klartext oder Base64 ist. Der Decoder signiert Header und Payload mit diesem Secret erneut und teilt Ihnen mit, ob das Ergebnis der Signatur des Tokens entspricht.

Warum meldet mein Token „Ungültige Signatur“?

Entweder ist das Secret falsch oder liegt im falschen Format vor. Ein Secret, das Ihre Bibliothek aus Base64 dekodiert, muss mit gewähltem Base64 eingegeben werden, sonst stimmen die Bytes nicht überein. Auch ein nach dem Signieren verändertes Token schlägt fehl.

Wird mein Token an einen Server gesendet?

Nein. Dekodierung und Verifizierung laufen beide in Ihrem Browser, sodass Sie Tokens aus der Produktion einfügen können, ohne dass sie Ihr Gerät verlassen.