Kostenloser Online-JWT-Decoder & Inspektor

Fügen Sie das Token in das Feld oben ein. Es wird an den zwei Punkten getrennt, und die ersten beiden Teile werden Base64url-dekodiert und als JSON ausgegeben. Header und Payload erscheinen sofort, zusammen mit dem Algorithmus und eventuellen Daten für exp und iat.

Ja. Header und Payload sind nur Base64url-kodiert, nicht verschlüsselt, daher kann jeder, der das Token besitzt, sie lesen. Das Secret oder der private Schlüssel wird zum Signieren oder Verifizieren eines Tokens benötigt, nicht zum Lesen seiner Claims. Deshalb sollten Token keine Passwörter enthalten.

Beim Dekodieren werden die Claims gelesen. Beim Verifizieren wird die Signatur mit dem Secret (HS256) oder dem öffentlichen Schlüssel (RS256, ES256) neu berechnet, um zu belegen, dass niemand sie verändert hat. Dieses Tool dekodiert nur. Vertrauen Sie einem Token in Ihrer App daher erst, wenn Servercode es mit einer JWT-Bibliothek verifiziert hat.

Ein gültiges Token wird in Ihrem Browser dekodiert und nie an PixConvert gesendet. Die Analyse erfasst Klicks wie Kopieren und die Dauer einer Dekodierung. Ist ein Token beschädigt, wird auch der Fehlertext gesendet, der in Chrome einige dekodierte Zeichen zitieren kann. Abgelaufene oder Test-Token sind am sichersten einzufügen.

exp ist die Ablaufzeit in Sekunden seit dem 1. Januar 1970 (Unix-Zeit). Dieser Decoder zeigt sie als Datum in Ihrer lokalen Zeitzone an und markiert das Token als Abgelaufen, sobald dieser Zeitpunkt verstrichen ist. Ein Token ohne exp wird als Aktiv angezeigt.

Aktiv bedeutet nur, dass die exp-Zeit noch nicht verstrichen ist oder das Token kein exp enthält. Das Tool prüft weder die Signatur noch nbf (not before), den Aussteller oder die Zielgruppe (Audience). Ein gefälschtes oder noch nicht gültiges Token kann daher trotzdem als Aktiv erscheinen. Prüfen Sie diese Claims selbst.

Der Decoder benötigt genau drei Teile, die durch zwei Punkte getrennt sind. Entfernen Sie das Wort Bearer und eventuelle Anführungszeichen und prüfen Sie, ob die Kopie vollständig ist. Verschlüsselte JWE-Token haben fünf Teile und lassen sich ohne den Schlüssel nicht dekodieren.

Ja. Das Dekodieren funktioniert für jeden Algorithmus gleich, und der alg-Wert aus dem Header, etwa HS256, RS256, ES256 oder none, wird in der Statusleiste angezeigt. Den Algorithmus müssen Sie nur kennen, wenn Sie die Signatur in Ihrem eigenen Code prüfen.

Ein ID-Token ist immer ein JWT und teilt Ihrer App mit, wer sich angemeldet hat, mit Claims wie sub, email und name. Ein Access-Token erlaubt es einem Client, eine API aufzurufen, und kann ein JWT oder eine undurchsichtige Zeichenfolge sein. Nur Token im JWT-Format lassen sich hier dekodieren.

Die Signatur ist die binäre Ausgabe von HMAC, RSA oder ECDSA, geschrieben als Base64url-Text. Für sich allein hat sie keine lesbare Bedeutung und belegt nur, dass Header und Payload nicht verändert wurden. Der Decoder zeigt sie als Text an und prüft sie nicht.

Der Decoder liest die Payload-Bytes derzeit einzeln statt als UTF-8, sodass José als José erscheint und Emojis zu seltsamen Symbolen werden. Mit dem Token selbst ist alles in Ordnung. Reine ASCII-Claims wie sub, iat und exp sind nicht betroffen.