JWT dekodieren
Lesen Sie Header und Payload eines JWT in Ihrem Browser, ohne es an einen Server zu senden.
Ihre Dateien werden hier auf Ihrem Gerät verarbeitet
Wir senden Ihre Datei- oder Textinhalte nicht an einen Verarbeitungsserver. Es ist kein Konto erforderlich und es gibt keine tägliche Betriebsquote. Einzelne Tools haben Größenbeschränkungen, um den Speicher Ihres Geräts zu schützen.
Eine Verbindung ist erforderlich, um die Website und ihre Ressourcen zu laden. Hosting kann technische Besuchsdaten erhalten. Favoriten speichern nur Werkzeugkennungen in diesem Browser.
Wie wir mit Ihren Daten umgehen →Wie man dieses Tool benutzt
- Fügen Sie den vollständigen Token mit seinen drei Teilen ein.
- Dekodieren Sie und prüfen Sie Header und Payload.
- Prüfen Sie den Ablauf und denken Sie daran, dass die Signatur nicht geprüft wird.
Ein Beispiel, das Sie überprüfen können
Liest den Inhalt eines JWT, ohne ihn an einen Server zu senden.
Beispieleingabe
A sample token with a name, issue time and expiry.
Erwartetes Ergebnis
The header, the JSON payload and key facts: algorithm, issue time, expiry and state.
Dekodieren validiert den Token nicht. Um ihm zu vertrauen, prüfen Sie die Signatur auf Ihrem Server mit dem Schlüssel des Ausstellers.
JWT dekodieren: Gebrauch und praktische Anleitung
Ein JWT (JSON Web Token) ist eine Zeichenkette aus drei durch Punkte getrennten Teilen: Header, Payload und Signatur. Die ersten beiden sind in Base64URL kodiertes JSON, nicht verschlüsselt; jeder, der den Token besitzt, kann sie lesen. Deshalb darf ein JWT keine Geheimnisse wie Passwörter enthalten. Dieses Werkzeug dekodiert beide Teile in Ihrem Browser und zeigt sie formatiert an, zusammen mit dem angegebenen Algorithmus sowie Ausstellungs- und Ablaufzeit in UTC.
Dekodieren ist nicht Validieren. Die Signatur garantiert, dass der Inhalt nicht verändert wurde und vom Inhaber des Schlüssels stammt, doch ihre Prüfung erfordert diesen Schlüssel und erfolgt auf dem Server, der den Token erhält. Ein Token mit falscher Signatur lässt sich genauso dekodieren. Die angezeigten Informationen dienen daher dem Debugging und dem Verständnis einer Integration, nicht der Entscheidung, ob eine Anfrage vertrauenswürdig ist.
Der Status zeigt, ob die Ablaufzeit laut Uhr Ihres Geräts bereits überschritten ist. Ein Token kann ohne Ablauf sein oder einen Gültigkeitsbeginn in der Zukunft haben. Obwohl alles lokal verarbeitet wird, gehen Sie mit echten Tokens vorsichtig um: Sie in einen Chat, ein geteiltes Dokument oder eine externe Seite einzufügen, kann jedem Zugriff geben, der sie sieht. Verwenden Sie im Zweifel einen Test-Token und widerrufen Sie einen offengelegten.
Beim Debuggen einer Integration beginnen Sie mit dem Algorithmus und den Zeitangaben. Ein unerwarteter Algorithmus wie none ist in jedem System, das Tokens empfängt, ein Warnsignal. Wird ein Token abgelehnt, vergleichen Sie seinen Ablauf mit der Serverzeit, denn eine falsch gehende Uhr erklärt viele sporadische Fehler. Prüfen Sie auch Aussteller und Zielgruppe, die zu dem passen müssen, was Ihr Dienst erwartet. Wenn Sie ein Beispiel in einem Ticket teilen, ersetzen Sie persönliche Daten und Signatur durch fiktive Werte: Ein echter Token, auch ein abgelaufener, kann interne Kennungen preisgeben.
Ein praktischer Check vor der Verwendung des Ergebnisses
Ändern Sie einen Buchstaben der Signatur des Beispiel-Tokens: Er lässt sich trotzdem dekodieren, was zeigt, dass das Werkzeug keine Signaturen prüft. Ändern Sie einen Buchstaben im Payload und beobachten Sie, wie sich das JSON ändert oder ein Formatfehler erscheint.
Optionen und Grenzen
Fügen Sie einen Token mit seinen drei durch Punkte getrennten Teilen ein (das Präfix Bearer wird akzeptiert). Header und Payload werden dekodiert; angezeigt werden Algorithmus, Ausstellungszeit, Ablauf und ob der Token bereits abgelaufen ist. Die Signatur wird nicht geprüft: Das Lesen eines Tokens beweist nicht, dass er echt ist. Alles geschieht auf Ihrem Gerät.
Häufige Fragen
Prüft es, ob der Token gültig ist?
Nein. Dekodieren liest nur Base64URL-kodierte Daten. Um zu wissen, ob ein Token echt ist, muss seine Signatur auf Ihrem Server mit dem Schlüssel des Ausstellers geprüft werden.