Расшифровать и проверить JWT

Как пользоваться: JWT-декодер

1. 1

   Вставьте токен

   Вставьте JWT из заголовка Authorization, из cookie или из хранилища приложения; начальное «Bearer » игнорируется.

2. 2

   Изучите claims

   Посмотрите таблицы заголовка и payload, понятное время exp, iat и nbf и баннер о сроке действия.

3. 3

   Добавьте ключ

   Введите секрет HMAC или вставьте открытый ключ в формате PEM, сертификат, JWK или JWKS.

4. 4

   Проверьте подпись

   Нажмите «Проверить подпись», чтобы убедиться, что токен подписан этим ключом и не был изменён.

О инструменте «JWT-декодер»

JSON Web Token (JWT) — это три строки в Base64URL, соединённые точками: заголовок с алгоритмом подписи, payload с утверждениями (claims) и подпись. Вставьте токен — с префиксом «Bearer » или без него — и декодер покажет заголовок и payload в виде удобной таблицы или форматированного JSON, выделит цветом три части токена и объяснит стандартные поля: iss, sub, aud, kid и scope.

Время из токена переводится в понятный вид: exp, iat, nbf и auth_time показываются как дата в вашем часовом поясе, в UTC и как относительное время («истекает через 2 часа», «истёк 3 дня назад»). Баннер сразу сообщает, что токен просрочен, ещё не действует или не имеет срока действия, и предупреждает, если значение exp похоже на миллисекунды вместо секунд.

Декодирование ничего не говорит о том, кто выпустил токен, поэтому подпись проверяется встроенным в браузер WebCrypto. Для HS256, HS384 и HS512 нужен общий секрет (обычный текст или Base64). Для алгоритмов RS, PS и ES с длиной 256, 384 и 512 бит, а также EdDSA с Ed25519 нужен открытый ключ. Его можно вставить как открытый ключ PEM, блок RSA PUBLIC KEY, сертификат X.509, отдельный JWK или целый JWKS — в этом случае ключ выбирается по kid из токена.

Инструмент не расшифровывает токены JWE (из пяти частей) и не загружает JWKS по URL: откройте jwks_uri издателя самостоятельно и вставьте его JSON.

Возможности

JWT-декодер: частые вопросы