JWT decoderen
Decodeer en inspecteer JSON Web Tokens met uitleg over claims
Probeer een voorbeeld
Plak een JWT om de header, claims en handtekening te bekijken.
Handtekening niet geverifieerd. Decoderen bewijst niet dat een token authentiek of betrouwbaar is.
Timing van het token
—
- Algoritme
- —
- Uitgegeven op
- —
- Niet geldig vóór
- —
- Verloopt op
- —
Geregistreerde claims
Over JWT decoderen
Met JWT decoderen decodeert u gratis en online direct elk JSON Web Token in de drie onderdelen: header, payload en signature. JSON Web Tokens (JWT's) zijn een open standaard (RFC 7519) om informatie veilig tussen partijen uit te wisselen als compacte, op zichzelf staande JSON-objecten. Ze vormen de basis van moderne authenticatie en autorisatie in webapplicaties, API's en microservices.
Elke JWT bestaat uit drie Base64URL-gecodeerde segmenten, gescheiden door punten. De header bevat het ondertekeningsalgoritme (zoals HS256 of RS256) en het tokentype. De payload bevat claims: sleutel-waardeparen met gebruikersgegevens, rechten, vervaltijden en andere metadata. De signature zorgt ervoor dat het token niet is aangepast en kan alleen worden geverifieerd met de juiste geheime sleutel of publieke sleutel.
Deze tool decodeert JWT's volledig in uw browser, zonder dat er gegevens naar een server gaan, zodat uw tokens nooit extern worden verzonden of opgeslagen. De tool controleert ook of een token is verlopen, zet tijdstempels om in leesbare datums en geeft uitleg bij standaard geregistreerde claims zoals iss, sub, aud, exp, iat en nbf.
Belangrijkste functies
- Decodeer elke JWT direct in de onderdelen header, payload en signature
- Automatische controle op verloop, met een duidelijke statusbanner: “Token niet verlopen”, “Token nog niet actief” of “Token verlopen”
- Leesbare weergave van Unix-tijdstempels (exp, iat, nbf), inclusief tijdzone
- Uitleg bij alle standaard geregistreerde claims (iss, sub, aud, exp, nbf, iat, jti)
- Kopieerknoppen met één klik voor header, payload en signature afzonderlijk
- Decodering in realtime tijdens het typen of plakken, met vertraagde invoerverwerking
- Onderdelen met kleurcodering: blauw voor de header, paars voor de payload, oranje voor de signature
- Algoritmebadge (HS256, RS256, ES256 enzovoort) duidelijk zichtbaar in de statusbanner
- Voorbeeldtoken om snel te testen en uit te proberen
- 100% verwerking aan de clientzijde, zonder dat er gegevens naar een server gaan
Gebruik
- Plak uw JWT: Kopieer een JSON Web Token uit uw applicatie, API-response, de ontwikkelaarstools van uw browser of uw authenticatiesysteem en plak het in het invoerveld.
- Bekijk de gedecodeerde onderdelen: De tool splitst het token direct in header, payload en signature en toont elk onderdeel in een opgemaakt paneel met kleurcodering.
- Controleer het verloop: Een statusbanner bovenaan toont of het token nog geldig of al verlopen is, samen met de exacte vervaldatum en een afteller.
- Lees de uitleg bij claims: Standaard geregistreerde claims zoals iss, sub, exp en iat hebben een beschrijving, zodat u begrijpt wat elk veld betekent.
- Kopieer onderdelen: Gebruik de kopieerknop bij een onderdeel om de opgemaakte JSON naar uw klembord te kopiëren voor documentatie of debugging.
- Probeer een voorbeeld: Klik op de knop “Voorbeeldtoken” om een kant-en-klare JWT te laden en te zien hoe de decoder werkt voordat u uw eigen tokens plakt.
Toepassingen
- Authenticatie debuggen: Bekijk snel de JWT's die uw authenticatieserver teruggeeft en controleer of claims, rollen en rechten goed zijn ingesteld.
- API-ontwikkeling: Decodeer access tokens tijdens een API-integratie om te bevestigen dat de payload de verwachte gebruikers-ID, scopes en vervaltijd bevat.
- Beveiligingsaudits: Onderzoek tokens op blootgestelde gevoelige gegevens, zwakke algoritmen (zoals “none”) of te lange geldigheidsduur.
- Leren en onderwijs: Begrijp de opbouw van een JWT door voorbeeldtokens te decoderen en de beschrijvingen bij de claims te lezen die de tool biedt.
- Problemen met verlopen tokens oplossen: Stel vast of authenticatiefouten worden veroorzaakt door verlopen tokens door de claim exp te vergelijken met de huidige tijd.
- Microservices debuggen: Bekijk tokens die tussen services worden doorgegeven en controleer of de upstream-services JWT's met de juiste structuur en de juiste claims uitgeven.
- OAuth-flow valideren: Decodeer ID-tokens en access tokens uit OAuth 2.0- en OpenID Connect-flows om de waarden voor issuer, audience en scope te controleren.
- Documentatie: Kopieer de gedecodeerde header- en payload-JSON naar API-documentatie of runbooks om de verwachte tokenstructuur te illustreren.
Veelgestelde vragen
Is deze tool gratis?
Ja. JWT decoderen is helemaal gratis te gebruiken, zonder account, zonder gebruikslimieten en zonder advertenties die de werking blokkeren.
Zijn mijn gegevens veilig?
Zeker. Alle decodering gebeurt volledig in uw browser met JavaScript. Uw JWT wordt nooit naar een server gestuurd, waardoor deze tool veilig is om productietokens te bekijken.
Controleert deze tool de JWT-signature?
Nee. Voor het controleren van de signature is de geheime sleutel (bij HMAC) of de publieke sleutel (bij RSA/ECDSA) nodig, en dat kan niet veilig in een browser aan de clientzijde. Gebruik bibliotheken aan de serverzijde om signatures te valideren.
Wat is het verschil tussen HS256 en RS256?
HS256 is een symmetrisch algoritme dat één gedeelde geheime sleutel gebruikt voor zowel ondertekenen als verifiëren. RS256 is een asymmetrisch algoritme dat een privésleutel gebruikt om te ondertekenen en een publieke sleutel om te verifiëren, wat het ideaal maakt voor gedistribueerde systemen.
Kan ik versleutelde JWT's (JWE) decoderen?
Deze tool decodeert ondertekende JWT's (JWS). Versleutelde JWT's (JWE) hebben een decryptiesleutel nodig en worden door deze decoder niet ondersteund.
Waarom staat mijn token als verlopen aangegeven?
De tool vergelijkt de claim exp (vervaltijd) met de huidige tijd van uw systeem. Ligt de vervaltijdstempel in het verleden, dan wordt het token als verlopen gemarkeerd. Controleer of de klok van uw systeem juist staat.
Tips & best practices
- Houd tokens kortlevend: Gebruik vervaltijden van 15 tot 60 minuten voor access tokens en combineer ze met veilige, HTTP-only refresh tokens voor een doorlopende sessie.
- Sla nooit geheimen op in de payload: JWT's zijn gecodeerd, niet versleuteld. Iedereen met het token kan de payload decoderen, dus neem nooit wachtwoorden, creditcardnummers of andere gevoelige gegevens op.
- Valideer altijd aan de serverzijde: Een JWT in de browser decoderen is handig om te debuggen, maar controleer altijd de signature in uw backend voordat u claims vertrouwt.
- Gebruik asymmetrische algoritmen voor gedistribueerde systemen: Kies RS256 of ES256 wanneer meerdere services tokens onafhankelijk van elkaar moeten verifiëren zonder een geheime sleutel te delen.
- Houd de tokengrootte in de gaten: Grote payloads vergroten de requestheaders en kunnen API-aanroepen vertragen. Houd claims minimaal en gebruik verwijzingen (zoals gebruikers-ID's) in plaats van volledige gebruikersprofielen in te sluiten.
- Roteer ondertekeningssleutels regelmatig: Pas sleutelrotatie toe met de headerparameter kid (Key ID), zodat u kunt overstappen op andere ondertekeningssleutels zonder alle bestaande tokens ongeldig te maken.