JWT dekodieren
JSON Web Tokens dekodieren und untersuchen, mit Erläuterungen zu Claims
Beispiel ausprobieren
Fügen Sie ein JWT ein, um Header, Claims und Signatur zu prüfen.
Signatur nicht überprüft. Das Dekodieren belegt nicht, dass ein Token echt oder vertrauenswürdig ist.
Zeitangaben des Tokens
—
- Algorithmus
- —
- Ausgestellt am
- —
- Nicht gültig vor
- —
- Läuft ab am
- —
Registrierte Claims
Über JWT dekodieren
Der JWT-Decoder ist ein kostenloses Online-Tool, das jedes JSON Web Token sofort in seine drei Bestandteile zerlegt: Header, Payload und Signatur. JSON Web Tokens (JWTs) sind ein offener Standard (RFC 7519), um Informationen sicher zwischen Parteien als kompakte, in sich geschlossene JSON-Objekte zu übertragen. Sie sind das Rückgrat moderner Authentifizierung und Autorisierung in Webanwendungen, APIs und Microservices.
Jedes JWT besteht aus drei Base64URL-codierten Segmenten, die durch Punkte getrennt sind. Der Header legt den Signaturalgorithmus (etwa HS256 oder RS256) und den Tokentyp fest. Die Payload enthält Claims: Schlüssel-Wert-Paare mit Benutzerdaten, Berechtigungen, Ablaufzeiten und weiteren Metadaten. Die Signatur stellt sicher, dass das Token nicht manipuliert wurde, und lässt sich nur mit dem richtigen geheimen Schlüssel oder öffentlichen Schlüssel verifizieren.
Dieses Tool dekodiert JWTs vollständig in Ihrem Browser ohne Server-Roundtrip, sodass Ihre Tokens weder übertragen noch extern gespeichert werden. Außerdem prüft es den Ablaufstatus, formatiert Zeitstempel zu lesbaren Datumsangaben und erklärt die Standard-Registered-Claims wie iss, sub, aud, exp, iat und nbf.
Hauptfunktionen
- Jedes JWT sofort in die Abschnitte Header, Payload und Signatur dekodieren
- Automatische Ablaufprüfung mit eindeutigem Statusbanner „Token nicht abgelaufen“, „Token noch nicht aktiv“ oder „Token abgelaufen“
- Lesbare Formatierung von Unix-Zeitstempeln (exp, iat, nbf) mit Zeitzonenanzeige
- Erklärungen zu allen Standard-Registered-Claims (iss, sub, aud, exp, nbf, iat, jti)
- Kopier-Schaltflächen mit einem Klick für Header, Payload und Signatur einzeln
- Dekodierung in Echtzeit beim Tippen oder Einfügen, mit verzögerter Eingabeverarbeitung
- Farbcodierte Abschnitte: blau für den Header, violett für die Payload, orange für die Signatur
- Algorithmus-Badge (HS256, RS256, ES256 usw.) gut sichtbar im Statusbanner
- Beispiel-Token für schnelles Testen und Ausprobieren
- 100 % clientseitige Verarbeitung, es werden keine Daten an einen Server gesendet
Anleitung
- JWT einfügen: Kopieren Sie ein JSON Web Token aus Ihrer Anwendung, einer API-Antwort, den Entwicklertools des Browsers oder Ihrem Authentifizierungssystem und fügen Sie es in das Eingabefeld ein.
- Dekodierte Abschnitte ansehen: Das Tool zerlegt das Token sofort in Header, Payload und Signatur und zeigt jeden Teil in einem formatierten, farbcodierten Bereich an.
- Ablauf prüfen: Ein Statusbanner oben zeigt, ob das Token noch gültig oder abgelaufen ist, samt genauem Ablaufdatum und Countdown.
- Claim-Erklärungen lesen: Standard-Registered-Claims wie iss, sub, exp und iat sind mit Beschreibungen versehen, damit Sie verstehen, was jedes Feld bedeutet.
- Abschnitte kopieren: Mit der Kopier-Schaltfläche an jedem Abschnitt kopieren Sie das formatierte JSON für Dokumentation oder Debugging in die Zwischenablage.
- Beispiel ausprobieren: Klicken Sie auf die Schaltfläche „Beispiel-Token“, um ein vorgefertigtes JWT zu laden und zu sehen, wie der Decoder funktioniert, bevor Sie Ihre eigenen Tokens einfügen.
Anwendungsfälle
- Authentifizierungs-Debugging: Von Ihrem Auth-Server zurückgegebene JWTs schnell prüfen, um sicherzustellen, dass Claims, Rollen und Berechtigungen richtig gesetzt sind.
- API-Entwicklung: Access Tokens bei der API-Integration dekodieren, um zu bestätigen, dass die Payload die erwartete Benutzer-ID, die erwarteten Scopes und die erwartete Ablaufzeit enthält.
- Sicherheitsprüfung: Tokens auf offengelegte sensible Daten, schwache Algorithmen (wie „none“) oder übermäßig lange Gültigkeitsdauern untersuchen.
- Lernen und Ausbildung: Den Aufbau von JWTs verstehen, indem Sie Beispiel-Tokens dekodieren und die vom Tool bereitgestellten kommentierten Claim-Beschreibungen lesen.
- Fehlersuche bei Token-Ablauf: Feststellen, ob Authentifizierungsfehler durch abgelaufene Tokens verursacht werden, indem der Claim exp mit der aktuellen Zeit verglichen wird.
- Microservices-Debugging: Zwischen Diensten weitergereichte Tokens prüfen, um sicherzustellen, dass vorgelagerte Dienste korrekt aufgebaute JWTs mit den richtigen Claims ausstellen.
- Prüfung von OAuth-Abläufen: ID-Tokens und Access Tokens aus OAuth-2.0- und OpenID-Connect-Abläufen dekodieren, um Issuer-, Audience- und Scope-Werte zu verifizieren.
- Dokumentation: Dekodiertes Header- und Payload-JSON in API-Dokumentation oder Runbooks kopieren, um erwartete Token-Strukturen zu veranschaulichen.
Häufig gestellte Fragen
Ist dieses Tool kostenlos?
Ja. Der JWT-Decoder ist komplett kostenlos, ohne Konto, ohne Nutzungsbegrenzung und ohne Werbung, die die Funktion blockiert.
Sind meine Daten sicher?
Auf jeden Fall. Die gesamte Dekodierung erfolgt vollständig in Ihrem Browser mit JavaScript. Ihr JWT wird nie an einen Server gesendet, daher eignet sich dieses Tool für die Prüfung von Produktions-Tokens.
Prüft dieses Tool die JWT-Signatur?
Nein. Für die Signaturprüfung ist der geheime Schlüssel (bei HMAC) oder der öffentliche Schlüssel (bei RSA/ECDSA) nötig, was in einem clientseitigen Browser nicht sicher möglich ist. Verwenden Sie für die Signaturvalidierung serverseitige Bibliotheken.
Was ist der Unterschied zwischen HS256 und RS256?
HS256 ist ein symmetrischer Algorithmus, der ein einziges gemeinsames Geheimnis zum Signieren und Verifizieren verwendet. RS256 ist ein asymmetrischer Algorithmus, der zum Signieren einen privaten und zum Verifizieren einen öffentlichen Schlüssel verwendet, was ihn ideal für verteilte Systeme macht.
Kann ich verschlüsselte JWTs (JWE) dekodieren?
Dieses Tool dekodiert signierte JWTs (JWS). Verschlüsselte JWTs (JWE) benötigen einen Entschlüsselungsschlüssel und werden von diesem Decoder nicht unterstützt.
Warum wird mein Token als abgelaufen angezeigt?
Das Tool vergleicht den Claim exp (Ablauf) mit Ihrer aktuellen Systemzeit. Liegt der Ablaufzeitstempel in der Vergangenheit, wird das Token als abgelaufen markiert. Prüfen Sie, ob Ihre Systemuhr korrekt geht.
Tipps und bewährte Vorgehensweisen
- Tokens kurzlebig halten: Verwenden Sie für Access Tokens Ablaufzeiten von 15 bis 60 Minuten und kombinieren Sie sie mit sicheren HTTP-only-Refresh-Tokens, damit Sitzungen weiterlaufen.
- Niemals Geheimnisse in der Payload speichern: JWTs sind codiert, nicht verschlüsselt. Jeder mit dem Token kann die Payload dekodieren, nehmen Sie also niemals Passwörter, Kreditkartennummern oder andere sensible Daten auf.
- Immer serverseitig validieren: Das Dekodieren eines JWT im Browser ist für das Debugging nützlich, aber prüfen Sie die Signatur immer in Ihrem Backend, bevor Sie Claims vertrauen.
- Asymmetrische Algorithmen für verteilte Systeme nutzen: Wählen Sie RS256 oder ES256, wenn mehrere Dienste Tokens unabhängig voneinander verifizieren müssen, ohne einen geheimen Schlüssel zu teilen.
- Token-Größe im Blick behalten: Große Payloads vergrößern die Request-Header und können API-Aufrufe verlangsamen. Halten Sie Claims minimal und verwenden Sie Referenzen (wie Benutzer-IDs), statt vollständige Benutzerprofile einzubetten.
- Signaturschlüssel regelmäßig rotieren: Setzen Sie Strategien zur Schlüsselrotation mit dem Header-Parameter kid (Key ID) um, damit Sie zwischen Signaturschlüsseln wechseln können, ohne alle bestehenden Tokens ungültig zu machen.