JWT-Decoder

JWT einfügen, um Header, Payload und Ablaufdatum zu sehen. Kein Token wird irgendwohin gesendet. Signatur wird NICHT verifiziert, nur zur Inspektion verwenden.

So funktioniert JWT-Decoder

JWT Decoder teilt ein JSON Web Token in seine drei Teile, Header, Payload und Signatur, auf und zeigt Header und Payload als formatiertes JSON an. Das Dekodieren erfolgt lokal im Browser durch Base64url-Dekodierung jedes Teils: Ihr Token wird niemals an einen Server gesendet. Das Tool führt keine Signaturverifizierung durch; es zeigt Ihnen nur, was in den Claims des Tokens steckt.

Dieser Unterschied ist für die Sicherheit wichtig: Ein dekodiertes JWT zu sehen, sagt Ihnen, welche Claims es enthält (Benutzer-ID, Ablauf, Rollen, Scopes), bestätigt aber nicht, dass das Token von einer legitimen Stelle ausgestellt wurde oder nicht manipuliert wurde. Die Signaturverifizierung erfordert den öffentlichen Schlüssel oder das gemeinsame Geheimnis des Ausstellers, was Sie niemals in ein öffentliches Tool einfügen sollten. Verwenden Sie diesen Decoder nur zur Inspektion und zum Debugging.

Verfasst von Bastien Sulyan

So wird JWT-Decoder verwendet, Schritt für Schritt

Fügen Sie die vollständige JWT-Zeichenkette (drei durch Punkte getrennte Base64url-Segmente) in das Eingabefeld ein.
Header- und Payload-Abschnitte erscheinen sofort als formatiertes JSON.
Prüfen Sie das Feld 'exp' im Payload, um den Ablauf-Zeitstempel zu sehen (Unix-Epoch-Sekunden).
Das Signatursegment wird unverändert angezeigt; dieses Tool verifiziert es nicht.

Häufige Anwendungsfälle

Ein Entwickler, der ein Authentifizierungsproblem debuggt, muss die Claims in einem JWT lesen, um zu bestätigen, dass die richtigen Scopes und Rollen vorhanden sind.
Eine QA-Ingenieurin prüft das 'exp'-Feld eines Zugriffstokens, um zu verifizieren, dass das Ablaufdatum auf die erwartete Dauer gesetzt ist.
Ein Sicherheitsprüfer untersucht ein JWT von einem Drittanbieter-Dienst, um zu verstehen, welche Benutzerdaten es kodiert, bevor er es akzeptiert.
Ein Backend-Ingenieur behebt einen 401-Fehler, indem er prüft, ob der 'aud'-Claim (Audience) des Tokens mit dem erwarteten API-Bezeichner übereinstimmt.

Häufig gestellte Fragen

Verifiziert dieses Tool die JWT-Signatur?

Nein. Das Tool dekodiert nur die Header- und Payload-Segmente per Base64url, um deren Inhalt als JSON anzuzeigen. Die Signaturverifizierung erfordert den geheimen oder öffentlichen Schlüssel des Ausstellers, den Sie hier nicht einfügen sollten. Ein dekodierter Payload, der valide aussieht, kann dennoch eine ungültige Signatur haben; verifizieren Sie die Signatur immer serverseitig mit einer vertrauenswürdigen JWT-Bibliothek.

Wird mein JWT-Token beim Einfügen hier an einen Server übertragen?

Nein. Die Dekodierung besteht aus drei Aufrufen an atob (oder TextDecoder auf den Rohbytes), die vollständig in der JavaScript-Engine des Browsers laufen. Nichts, was Sie hier einfügen, verlässt Ihren Browser-Tab. Dies ist der einzige sichere Weg, ein JWT mit privaten Benutzer-Claims zu prüfen: vollständig lokal, keine Netzwerkanfrage.

Was ist der Unterschied zwischen Header-, Payload- und Signatursegment?

Ein JWT hat drei durch Punkte getrennte Base64url-kodierte Segmente. Der Header gibt den Algorithmus an, der zum Signieren des Tokens verwendet wurde (z. B. HS256 oder RS256). Der Payload enthält die Claims: Fakten über das Subjekt und zusätzliche Metadaten (Ablauf, Aussteller, Audience, benutzerdefinierte Claims). Die Signatur ist ein kryptografischer Wert, der aus Header und Payload mit dem Schlüssel des Ausstellers berechnet wurde; sie ermöglicht dem Empfänger zu überprüfen, dass das Token nicht verändert wurde.

Was bedeutet 'exp' im Payload?

Der 'exp'-Claim ist die Ablaufzeit des Tokens, ausgedrückt als Unix-Zeitstempel (ganzzahlige Sekunden seit dem 1. Januar 1970 UTC). Wenn die aktuelle Zeit größer als 'exp' ist, ist das Token abgelaufen und sollte von jedem Server, der es validiert, abgelehnt werden. Dieses Tool zeigt den rohen numerischen Wert; Sie können ihn mit dem Zeitstempel-Tool auf dieser Website konvertieren. Das Abzeichen „abgelaufen“ oder „gültig“ vergleicht diese Zahl mit der Uhr Ihres eigenen Geräts, sodass ein falsch eingestelltes Gerät das Token ebenfalls falsch beurteilt. Es ist ein Hinweis, niemals ein Ersatz für den Server, der die Signatur tatsächlich validiert.

Kann ich ein undurchsichtiges oder Referenz-Token mit diesem Tool dekodieren?

Nein. Undurchsichtige Token (manchmal Referenz-Token genannt) sind zufällige Zeichenketten, die selbst keine Benutzerdaten tragen; sie müssen an den Introspektions-Endpunkt des Ausstellers gesendet werden, um zugehörige Claims abzurufen. Dieses Tool funktioniert nur mit eigenständigen JWTs im standardmäßigen Drei-Teil-Format.