Декодування й перевірка JWT

Як користуватися: Декодер JWT

1. 1

   Вставте токен

   Вставте JWT із заголовка Authorization, cookie або сховища вашого застосунку; початковий «Bearer » ігнорується.

2. 2

   Прочитайте claims

   Перегляньте таблиці заголовка й payload, зрозумілі значення часу exp, iat і nbf та банер про термін дії.

3. 3

   Додайте ключ

   Введіть секрет HMAC або вставте публічний ключ у форматі PEM, сертифікат, JWK чи JWKS.

4. 4

   Перевірте підпис

   Натисніть «Перевірити підпис», щоб переконатися, що токен підписано цим ключем і його не змінювали.

Про інструмент: Декодер JWT

JSON Web Token — це три рядки Base64URL, зʼєднані крапками: заголовок із назвою алгоритму підпису, payload із claims і підпис. Вставте токен (з префіксом «Bearer » або без нього), і декодер покаже заголовок та payload у вигляді зрозумілої таблиці або відформатованого JSON, виділить кольором три частини токена й пояснить стандартні поля, як-от iss, sub, aud, kid і scope.

Часові claims перетворюються автоматично: exp, iat, nbf і auth_time відображаються як дата у вашому часовому поясі, у UTC і як відносний час («спливає через 2 години», «термін дії минув 3 дні тому»). Банер одразу показує, що термін дії токена минув, що він ще не дійсний або що терміну дії немає, і попереджає, якщо значення exp, схоже, вказано в мілісекундах, а не в секундах.

Декодування нічого не каже про те, хто видав токен, тому перевірка підпису виконується вбудованим у ваш браузер WebCrypto. Для HS256, HS384 і HS512 потрібен спільний секрет (звичайний текст або Base64). Для алгоритмів RS, PS і ES із 256, 384 і 512 бітами, а також EdDSA з Ed25519 потрібен публічний ключ. Його можна вставити як публічний ключ PEM, блок RSA PUBLIC KEY, сертифікат X.509, окремий JWK або цілий JWKS, де ключ добирається за kid токена.

Інструмент не розшифровує токени JWE (пʼятичастинні) і не завантажує JWKS за URL: відкрийте jwks_uri емітента самостійно й вставте його JSON.

Можливості

Декодер JWT: поширені запитання