JWT-avkodare
Avkoda och granska JSON Web Tokens med förklaringar av anspråk
Prova ett exempel
Klistra in en JWT för att granska dess huvud, anspråk och signatur.
Signaturen är inte verifierad. Avkodning visar inte att en token är äkta eller betrodd.
Tokenens tidsangivelser
—
- Algoritm
- —
- Utfärdad
- —
- Inte före
- —
- Går ut
- —
Registrerade anspråk
Om JWT-avkodare
Verktyget JWT-avkodare är ett kostnadsfritt onlineverktyg som direkt avkodar valfri JSON Web Token till dess tre delar: Header, Payload och Signature. JSON Web Tokens (JWT) är en öppen standard (RFC 7519) för att på ett säkert sätt överföra information mellan parter som kompakta, självbärande JSON-objekt. De utgör ryggraden i modern autentisering och auktorisering i webbapplikationer, API:er och mikrotjänster.
Varje JWT består av tre Base64URL-kodade segment åtskilda av punkter. Header anger signeringsalgoritmen (till exempel HS256 eller RS256) och tokentypen. Payload innehåller claims: nyckel-värde-par med användardata, behörigheter, utgångstider och annan metadata. Signature säkerställer att token inte har manipulerats och kan bara verifieras med rätt hemlighet eller publik nyckel.
Verktyget avkodar JWT helt i din webbläsare, utan någon serverrundtur, så dina token överförs eller lagras aldrig externt. Det kontrollerar även giltighetsstatus, formaterar tidsstämplar till läsbara datum och förklarar vanliga registrerade claims som iss, sub, aud, exp, iat och nbf.
Viktiga funktioner
- Avkoda direkt valfri JWT till delarna Header, Payload och Signature
- Automatisk kontroll av giltighetstid med tydlig statusbanner: “Token Not Expired”, “Token Not Yet Active” eller “Token Expired”
- Läsbar formatering av Unix-tidsstämplar (exp, iat, nbf) med visning av tidszon
- Förklaringar av alla standardiserade registrerade claims (iss, sub, aud, exp, nbf, iat, jti)
- Kopieringsknappar med ett klick för header, payload och signature var för sig
- Avkodning i realtid medan du skriver eller klistrar in, med fördröjd inmatningshantering
- Färgkodade avsnitt: blått för Header, lila för Payload, orange för Signature
- Algoritmmärke (HS256, RS256, ES256 med flera) som visas tydligt i statusbannern
- Exempeltoken för snabb testning och demonstration
- 100 % bearbetning på klientsidan, utan att några data skickas till någon server
Så använder du
- Klistra in din JWT: Kopiera en JSON Web Token från din applikation, ett API-svar, webbläsarens utvecklarverktyg eller ditt autentiseringssystem och klistra in den i inmatningsfältet.
- Se de avkodade delarna: Verktyget delar direkt upp token i Header, Payload och Signature och visar varje del i en formaterad, färgkodad panel.
- Kontrollera giltighetstiden: En statusbanner överst visar om token fortfarande är giltig eller har gått ut, tillsammans med exakt utgångsdatum och nedräkning.
- Läs förklaringarna av claims: Standardiserade registrerade claims som iss, sub, exp och iat har beskrivningar så att du förstår vad varje fält betyder.
- Kopiera delar: Använd kopieringsknappen på valfri del för att kopiera den formaterade JSON-koden till urklipp, till exempel för dokumentation eller felsökning.
- Prova ett exempel: Klicka på knappen “Sample Token” för att läsa in en färdig JWT och se hur avkodaren fungerar innan du klistrar in dina egna token.
Användningsområden
- Felsökning av autentisering: Granska snabbt JWT som din autentiseringsserver returnerar och kontrollera att claims, roller och behörigheter är korrekt angivna.
- API-utveckling: Avkoda åtkomsttoken under API-integration för att bekräfta att payload innehåller förväntat användar-ID, scopes och utgångstid.
- Säkerhetsgranskning: Undersök token efter exponering av känsliga data, svaga algoritmer (som “none”) eller alltför långa giltighetstider.
- Lärande och utbildning: Förstå JWT-strukturen genom att avkoda exempeltoken och läsa verktygets kommenterade beskrivningar av claims.
- Felsökning av utgångna token: Ta reda på om autentiseringsfel beror på utgångna token genom att jämföra claimen exp med aktuell tid.
- Felsökning av mikrotjänster: Granska token som skickas mellan tjänster och kontrollera att uppströmstjänsterna utfärdar korrekt uppbyggda JWT med rätt claims.
- Validering av OAuth-flöden: Avkoda ID-token och åtkomsttoken från OAuth 2.0- och OpenID Connect-flöden för att kontrollera värdena för utfärdare, målgrupp och scope.
- Dokumentation: Kopiera avkodad header- och payload-JSON till API-dokumentation eller driftsböcker för att visa hur token förväntas se ut.
Vanliga frågor
Är verktyget gratis?
Ja. JWT-avkodare är helt gratis att använda, utan konto, utan användningsgränser och utan annonser som blockerar funktionerna.
Är mina data säkra?
Absolut. All avkodning sker helt i din webbläsare med JavaScript. Din JWT skickas aldrig till någon server, vilket gör verktyget säkert att använda för att granska token från produktion.
Verifierar verktyget JWT-signaturen?
Nej. Verifiering av signaturen kräver den hemliga nyckeln (för HMAC) eller den publika nyckeln (för RSA/ECDSA), vilket inte kan göras säkert i en webbläsare på klientsidan. Använd bibliotek på serversidan för att validera signaturer.
Vad är skillnaden mellan HS256 och RS256?
HS256 är en symmetrisk algoritm som använder en enda delad hemlighet både för signering och verifiering. RS256 är en asymmetrisk algoritm som använder en privat nyckel för att signera och en publik nyckel för att verifiera, vilket gör den lämplig för distribuerade system.
Kan jag avkoda krypterade JWT (JWE)?
Verktyget avkodar signerade JWT (JWS). Krypterade JWT (JWE) kräver en dekrypteringsnyckel och stöds inte av avkodaren.
Varför visas min token som utgången?
Verktyget jämför claimen exp (utgångstid) med systemtiden på din enhet. Om utgångstidsstämpeln ligger i det förflutna markeras token som utgången. Kontrollera att systemklockan går rätt.
Tips och bästa praxis
- Håll token kortlivade: Använd giltighetstider på 15 till 60 minuter för åtkomsttoken och kombinera dem med säkra HTTP-only-uppdateringstoken för sammanhängande sessioner.
- Lagra aldrig hemligheter i payload: JWT är kodade, inte krypterade. Alla som har token kan avkoda payload, så ta aldrig med lösenord, kreditkortsnummer eller andra känsliga data.
- Validera alltid på serversidan: Att avkoda en JWT i webbläsaren är bra för felsökning, men verifiera alltid signaturen i din backend innan du litar på några claims.
- Använd asymmetriska algoritmer för distribuerade system: Välj RS256 eller ES256 när flera tjänster ska verifiera token oberoende av varandra utan att dela en hemlig nyckel.
- Håll koll på token-storleken: Stora payloads gör requesthuvudet större och kan sakta ner API-anrop. Håll claims minimala och använd referenser (som användar-ID) i stället för att bädda in hela användarprofiler.
- Rotera signeringsnycklar regelbundet: Inför strategier för nyckelrotation med headerparametern kid (Key ID) för att byta mellan signeringsnycklar utan att ogiltigförklara alla befintliga token.