JWT-Decoder
Lesen Sie Header und Payload eines Tokens, ohne es irgendwohin zu senden.
- Läuft in Ihrem Browser — Ihr Text wird nirgendwohin gesendet
- Ohne Anmeldung, ohne Kontingent, so oft nutzbar, wie Sie möchten
So funktioniert es
Ein JWT in eine Website einzufügen, ist eine wirklich schlechte Angewohnheit: Ein aktives Token ist eine Zugangsberechtigung, und Sie haben sie soeben einem Dritten übergeben. Hier wird es auf der Seite dekodiert, sodass das Token Ihren Rechner nie verlässt.
Was ein JWT enthält
Drei durch Punkte getrennte Base64URL-Segmente: ein Header, der den Algorithmus benennt, eine Payload mit Claims und eine Signatur. Die ersten beiden sind kodiert, nicht verschlüsselt – jeder, der das Token besitzt, kann sie lesen.
Signaturprüfung ist nicht Dekodierung
Hier sehen Sie, was das Token aussagt. Es wird nicht geprüft, ob die Signatur gültig ist, denn dafür braucht man das Signaturgeheimnis oder den öffentlichen Schlüssel. Ein dekodiertes Token sagt nichts über die Echtheit aus.
Ablauf
Enthält die Payload einen Ablauf-Claim, wird er als lesbares Datum angezeigt und markiert, wenn er bereits überschritten ist – meist genau das, was Sie herausfinden wollten.
JWT-Decoder – Fragen
Wird dabei die Signatur überprüft?
Nein. Für die Überprüfung wird der Signaturschlüssel benötigt. Hier wird nur der Inhalt dekodiert und angezeigt.
Wird mein Token an einen Server gesendet?
Nein, und genau das ist der Punkt. Ein aktives Token ist eine Zugangsberechtigung und sollte nicht in einen entfernten Dienst eingefügt werden.
Warum kann jeder ein JWT lesen?
Header und Payload sind Base64-kodiert, nicht verschlüsselt. Die Signatur verhindert Manipulation, nicht das Lesen.