JWT-Decoder
Header und Payload eines JSON Web Tokens anzeigen, mit erklärten Ablaufzeiten
- Dateien verlassen Ihr Gerät nicht
- Läuft im Browser
- Kostenlos, ohne Anmeldung, ohne Wasserzeichen
Fügen Sie oben ein Token ein oder laden Sie das Beispiel.
So verwenden Sie: JWT-Decoder
Fügen Sie ein JSON Web Token ein, um Header und Payload zu lesen. Jeder Standard-Claim wird erklärt, Zeitstempel wie exp und iat erscheinen als Datum. Das Token wird lokal dekodiert und weder gesendet noch gespeichert. Das Tool dekodiert nur und prüft keine Signaturen.
- 1
Fügen Sie das Token in „Kodiertes Token“ ein. Ein vorangestelltes „Bearer “ wird automatisch entfernt.
- 2
Lesen Sie den dekodierten Header und die Payload als formatiertes JSON.
- 3
Unter „Status“ sehen Sie, ob das Token abgelaufen oder noch nicht gültig ist und was der Signaturalgorithmus bedeutet.
- 4
Die Tabelle „Claims“ zeigt die Bedeutung jedes Claims und die Zeiten in Ihrer Zeitzone und in UTC.
Häufige Fragen
Kann ich hier ein Produktions-Token einfügen?
Das Token wird in Ihrem Browser dekodiert und weder gesendet noch gespeichert. Behandeln Sie gültige Tokens trotzdem wie Passwörter und fügen Sie sie nur auf vertrauenswürdigen Geräten ein.
Wird die Signatur geprüft?
Nein, es wird nur dekodiert. Jeder kann ein Token mit beliebigem Inhalt erstellen. Vertrauen Sie den Claims erst, wenn Ihr Server die Signatur mit dem richtigen Schlüssel geprüft hat.
Warum lässt sich die Payload meines Tokens nicht dekodieren?
Ein Token mit 5 Teilen ist ein verschlüsseltes JWE. Lesbar ist nur der Header; für die Payload braucht man den Entschlüsselungsschlüssel.
Wie erkenne ich, ob ein Token abgelaufen ist?
„Status“ zeigt „Abgelaufen“ oder „Läuft … ab“ mit relativer Zeit, bei vorhandenem iat und exp auch die Gültigkeitsdauer. Fehlt der Claim exp, weist das Tool darauf hin, dass das Token von selbst nie abläuft.
Was bedeutet alg „none“?
Das Token ist unsigniert. Server müssen es ablehnen; das Tool markiert es rot.