JWT-Decoder

Lies, was in einem JWT steckt, und prüfe, ob es echt ist.

Privat: Deine Dateien verlassen nie dein Gerät.

So funktioniert’s

Wähle deine Dateien.
Passe bei Bedarf die Einstellungen an.
Lade das Ergebnis herunter oder sende es mit BroAllDone an ein anderes Gerät.

Häufige Fragen

Wie dekodiere ich ein JWT?

Füge das Token ein. Header und Payload erscheinen sofort, jeder Claim wird erklärt, und Zeiten wie exp und iat werden als Datum angezeigt.

Sehe ich, ob das Token abgelaufen ist?

Ja. Du siehst, ob es gültig, abgelaufen oder noch nicht gültig ist, und wann es abläuft, zum Beispiel in 2 Stunden.

Wie prüfe ich die Signatur?

Füge das Secret für HS256, HS384 oder HS512 ein, oder den öffentlichen Schlüssel für RS-, PS-, ES- und EdDSA-Tokens: einen PEM-Schlüssel, ein Zertifikat, einen JWK oder ein ganzes JWKS. Der passende Schlüssel wird anhand seiner kid gewählt.

Ist es sicher, mein Token hier einzufügen?

Ja. Dekodieren und Prüfen passieren in deinem Browser, dein Token und deine Schlüssel verlassen also nie dein Gerät. Behandle echte Tokens trotzdem wie Passwörter.

Warum steht da, dass das Token nicht signiert ist?

Im Header steht alg: none, also könnte es jeder geschrieben haben. Akzeptiere so ein Token nie als Nachweis für irgendetwas.

Und verschlüsselte Tokens?

Ein JWE hat fünf statt drei Teile. Sein Header wird angezeigt, aber der Inhalt lässt sich nur mit dem privaten Schlüssel lesen.

JWT-Decoder

Signatur verifizieren

So funktioniert’s

Häufige Fragen

Weitere kostenlose Tools