DE

JWT-Decoder

Füge ein JSON Web Token ein, um Header und Claims zu lesen, zu sehen, wann es abläuft, und die Signatur mit einem Secret oder Public Key zu prüfen. Das Token verlässt nie deinen Browser.

Kostenlos und privat. Alles läuft in deinem Browser, nichts wird hochgeladen.

So funktioniert es

  1. Token einfügenFüge das JWT ein, mit oder ohne das Präfix Bearer.
  2. Claims lesenSieh dir Header, Payload und Daten in verständlicher Form an.
  3. PrüfenOptional: Gib das Secret oder den Public Key ein, um die Signatur zu prüfen.

Sicher auch für echte Tokens

Online-JWT-Debugger sind praktisch, aber ein gültiges Access Token auf der Website eines anderen einzufügen ist riskant: Wer es mitprotokolliert, kann es nutzen, bis es abläuft. Dieser Decoder läuft komplett in deinem Browser. Nichts wird gesendet, protokolliert oder gespeichert, du kannst also beim Debuggen der Authentifizierung auch Tokens aus der Produktion ansehen.

Die Zeitangaben in exp, iat, nbf und auth_time werden in deiner Ortszeit mit einem relativen Hinweis angezeigt, und der Status sagt dir sofort, ob das Token abgelaufen ist.

Signaturprüfung

Für HS256, HS384 und HS512 gibst du das gemeinsame Secret ein. Für RS-, PS- und ES-Algorithmen fügst du den Public Key im PEM-Format ein, der mit BEGIN PUBLIC KEY beginnt. Die Prüfung nutzt die Web Crypto API deines Browsers. Tokens mit alg none werden markiert, weil sie gar keine Signatur haben.

Häufige Fragen

Wird mein Token irgendwohin gesendet?

Nein. Dekodieren und Prüfen passieren in deinem Browser.

Kann ich ein Token ohne das Secret dekodieren?

Ja. Header und Payload sind nur kodiert, nicht verschlüsselt. Das Secret brauchst du nur, um die Signatur zu prüfen.

Welche Algorithmen können geprüft werden?

HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 und ES512.

Was ist mit verschlüsselten Tokens (JWE)?

Verschlüsselte Tokens haben fünf Teile und lassen sich ohne den Private Key nicht lesen. Das Tool sagt es dir, wenn du eines einfügst.