Jak korzystać: Dekoder JWT
- 1
Wklej token
Wklej JWT z nagłówka Authorization, ciasteczka lub pamięci aplikacji; początkowy prefiks „Bearer ” jest pomijany.
- 2
Przejrzyj claimy
Sprawdź tabele nagłówka i payloadu, czytelne czasy exp, iat i nbf oraz baner z informacją o ważności.
- 3
Dodaj klucz
Wpisz sekret HMAC albo wklej klucz publiczny jako PEM, certyfikat, JWK lub JWKS.
- 4
Zweryfikuj podpis
Kliknij Zweryfikuj podpis, aby potwierdzić, że token podpisano tym kluczem i nie został zmieniony.
Limity i Pro
Za darmo, bez rejestracji i bez limitu liczby tokenów; weryfikacja obsługuje 13 algorytmów (HS, RS, PS i ES w wariantach 256, 384 i 512 bitów oraz EdDSA).
Pro usuwa reklamy; dekodowanie i weryfikacja działają tak samo w każdym planie. Zobacz Pro
O narzędziu: Dekoder JWT
JSON Web Token to trzy ciągi Base64URL połączone kropkami: nagłówek z nazwą algorytmu podpisu, payload z claimami oraz podpis. Wklej token – z prefiksem „Bearer ” lub bez – a dekoder pokaże nagłówek i payload jako czytelną tabelę albo sformatowany JSON, oznaczy kolorami trzy części tokena i wyjaśni standardowe pola, takie jak iss, sub, aud, kid i scope.
Znaczniki czasu są przeliczane za Ciebie: exp, iat, nbf i auth_time pojawiają się jako data w Twojej strefie czasowej, w UTC oraz jako czas względny („wygasa za 2 godziny”, „wygasł 3 dni temu”). Baner od razu informuje, czy token wygasł, jest jeszcze nieważny albo nie ma terminu ważności, a także ostrzega, gdy exp wygląda na podany w milisekundach zamiast w sekundach.
Samo zdekodowanie niczego nie dowodzi o wystawcy tokena, dlatego weryfikator sprawdza podpis za pomocą wbudowanego w przeglądarkę WebCrypto. Algorytmy HS256, HS384 i HS512 wymagają wspólnego sekretu (zwykły tekst lub Base64). Algorytmy RS, PS i ES w wariantach 256, 384 i 512 bitów oraz EdDSA z Ed25519 wymagają klucza publicznego. Możesz go wkleić jako klucz publiczny PEM, blok RSA PUBLIC KEY, certyfikat X.509, pojedynczy JWK albo cały JWKS – wtedy klucz jest wybierany na podstawie kid z tokena.
Narzędzie nie odszyfruje tokenów JWE (tych pięcioczęściowych) i nie pobiera adresów JWKS; otwórz jwks_uri wystawcy samodzielnie i wklej jego JSON.
Prywatność
Tokeny działają jak poświadczenia na okaziciela, więc ta strona tak je traktuje: dekodowanie i weryfikacja podpisu odbywają się w przeglądarce dzięki WebCrypto, a token, sekret i klucze nigdy nie są wysyłane na serwer, zapisywane w logach ani przechowywane. Zamknięcie lub odświeżenie karty czyści wszystko.
Funkcje
Czytelne czasy
exp, iat i nbf w Twojej strefie czasowej, w UTC oraz jako „za 2 godziny” lub „3 dni temu”.
Prawdziwa weryfikacja podpisu
HMAC, RSA, RSA-PSS, ECDSA i Ed25519 sprawdzane w WebCrypto na podstawie Twojego klucza lub JWKS.
Token zostaje na urządzeniu
Nic nie jest przesyłane, więc tokeny produkcyjne można bezpiecznie sprawdzać.