JWT dekodieren und verifizieren

So verwenden Sie JWT-Decoder

1. 1

   Token einfügen

   Fügen Sie das JWT aus einem Authorization-Header, einem Cookie oder dem Speicher Ihrer App ein; ein vorangestelltes „Bearer“ wird ignoriert.

2. 2

   Claims lesen

   Sehen Sie sich die Tabellen für Header und Payload, die lesbaren Zeiten für exp, iat und nbf sowie den Hinweis zur Ablaufzeit an.

3. 3

   Schlüssel hinzufügen

   Geben Sie das HMAC-Secret ein oder fügen Sie den öffentlichen Schlüssel als PEM, Zertifikat, JWK oder JWKS ein.

4. 4

   Signatur prüfen

   Klicken Sie auf „Signatur prüfen“, um zu bestätigen, dass der Token mit diesem Schlüssel signiert und nicht verändert wurde.

Über JWT-Decoder

Ein JSON Web Token besteht aus drei Base64URL-Zeichenfolgen, die durch Punkte verbunden sind: einem Header mit dem Signaturalgorithmus, einem Payload mit Claims und einer Signatur. Fügen Sie einen Token ein – mit oder ohne das Präfix „Bearer“ – und der Decoder zeigt Header und Payload als lesbare Tabelle oder formatiertes JSON an, färbt die drei Teile des Tokens ein und erklärt Standardfelder wie iss, sub, aud, kid und scope.

Zeit-Claims werden für Sie umgerechnet: exp, iat, nbf und auth_time erscheinen als Datum in Ihrer Zeitzone, in UTC und als relative Angabe („läuft in 2 Stunden ab“, „vor 3 Tagen abgelaufen“). Ein Hinweis zeigt auf einen Blick, ob der Token abgelaufen, noch nicht gültig oder ohne Ablaufzeit ist, und warnt, wenn exp offenbar in Millisekunden statt in Sekunden angegeben ist.

Das Decodieren beweist nichts darüber, wer einen Token ausgestellt hat. Deshalb prüft die Verifizierung die Signatur mit der integrierten WebCrypto-Funktion Ihres Browsers. HS256, HS384 und HS512 benötigen das gemeinsame Secret (als Klartext oder Base64). RS-, PS- und ES-Algorithmen mit 256, 384 und 512 Bit sowie EdDSA mit Ed25519 benötigen den öffentlichen Schlüssel. Sie können ihn als öffentlichen PEM-Schlüssel, als RSA-PUBLIC-KEY-Block, als X.509-Zertifikat, als einzelnen JWK oder als vollständiges JWKS einfügen; dabei wird der Schlüssel anhand der kid des Tokens ausgewählt.

Das Tool kann keine JWE-Tokens (die fünfteilige Variante) entschlüsseln und ruft keine JWKS-URLs ab. Öffnen Sie die jwks_uri des Ausstellers selbst und fügen Sie deren JSON ein.

Funktionen

JWT-Decoder: Häufig gestellte Fragen