JWT's decoderen en verifiëren

Zo gebruik je JWT-decoder

1. 1

   Plak de token

   Plak de JWT uit een Authorization-header, een cookie of de opslag van je app; een “Bearer ” aan het begin wordt genegeerd.

2. 2

   Lees de claims

   Bekijk de tabellen met header en payload, de leesbare tijden van exp, iat en nbf en de banner over de vervaltijd.

3. 3

   Voeg de sleutel toe

   Vul de HMAC-sleutel in of plak de publieke sleutel als PEM, certificaat, JWK of JWKS.

4. 4

   Verifieer de handtekening

   Klik op Handtekening verifiëren om te controleren of de token met die sleutel is ondertekend en niet is gewijzigd.

Over JWT-decoder

Een JSON Web Token bestaat uit drie Base64URL-strings die met punten aan elkaar zijn geplakt: een header met het ondertekeningsalgoritme, een payload met claims en een handtekening. Plak er een – met of zonder het voorvoegsel “Bearer ” – en de decoder toont de header en payload als leesbare tabel of als opgemaakte JSON, geeft de drie delen van de token een eigen kleur en legt standaardvelden als iss, sub, aud, kid en scope uit.

Tijdclaims worden voor je omgezet: exp, iat, nbf en auth_time verschijnen als datum in jouw tijdzone, in UTC en als relatieve tijd (“verloopt over 2 uur”, “3 dagen geleden verlopen”). Een banner laat in één oogopslag zien of de token verlopen is, nog niet geldig is of geen vervaltijd heeft, en waarschuwt als exp in milliseconden lijkt te staan in plaats van in seconden.

Decoderen bewijst niets over wie een token heeft uitgegeven. Daarom controleert de verificatie de handtekening met de ingebouwde WebCrypto van je browser. HS256, HS384 en HS512 hebben de gedeelde geheime sleutel nodig (platte tekst of Base64). RS-, PS- en ES-algoritmen met 256, 384 en 512 bits, plus EdDSA met Ed25519, hebben de publieke sleutel nodig. Die plak je als PEM-sleutel, RSA PUBLIC KEY-blok, X.509-certificaat, losse JWK of complete JWKS, waarbij de sleutel wordt gekozen op basis van de kid van de token.

De tool kan JWE-tokens (die met vijf delen) niet ontsleutelen en haalt geen JWKS-URL's op; open zelf de jwks_uri van de uitgever en plak de JSON.

Functies

JWT-decoder: veelgestelde vragen