Jedes JWT dekodieren, seine Signatur prüfen und neue Tokens signieren, alles in Ihrem Browser
Läuft in Ihrem Browser. Nichts, was Sie eingeben, wird irgendwohin gesendet.Ein JWT trägt seine Claims offen, sodass jeder, der das Token hat, sie lesen kann, denn Base64 ist eine Kodierung und keine Verschlüsselung. Dieses Tool dekodiert die 3 Teile, zeigt den Ablauf und prüft oder signiert ein Token mit HS256, RS256 oder ES256. Das Token verlässt nie Ihren Browser.
Diese Seite wurde maschinell aus dem englischen Original übersetzt. Die Übersetzung wurde noch von keinem Menschen geprüft; maßgeblich ist die englische Fassung. Englisches Original lesen
Fügen Sie im Tab "Dekodieren & prüfen" das Token in das Feld Kodiertes Token ein.
Lesen Sie die Bereiche Header, Payload und Claims erklärt, die daneben erscheinen.
Geben Sie das Secret oder den öffentlichen Schlüssel als PEM oder JWK in das Schlüsselfeld ein und klicken Sie auf Prüfen.
Lesen Sie das Ergebnis: "Signatur bestätigt" oder "Signatur ungültig".
Für ein Testtoken öffnen Sie "Kodieren & signieren", wählen Algorithmus und Ablauf, fügen einen Schlüssel hinzu und klicken auf Token signieren.
Dieser JWT-Decoder liest jedes JSON Web Token und zeigt Header, Payload und Signatur als drei farblich passende Teile. Jeder Standard-Claim erhält eine Zeile in Klartext, der Ablauf wird zu einem echten Datum mit einem Abzeichen "gültig" oder "abgelaufen", und Sie können die Signatur mit HS256, HS384, HS512, RS256 oder ES256 prüfen.
Man greift dazu, wenn eine Anmeldung plötzlich fehlschlägt und man wissen muss, ob das Token abgelaufen ist oder für eine andere Zielgruppe ausgestellt wurde. Es ist auch der schnellste Weg zu sehen, was eine fremde API tatsächlich in ihre Zugriffstokens schreibt, bevor Sie Code schreiben, der von einem Claim abhängt. Der Kodier-Tab deckt die andere Richtung ab: Wenn Sie einen Auth-Ablauf bauen und ein Token mit bestimmtem Subject, Scope und Ablauf brauchen, um Ihren eigenen Dienst zu testen, können Sie das JSON bearbeiten, einen Algorithmus wählen, den Ablauf setzen und mit einem Secret oder einem erzeugten Test-Schlüsselpaar signieren.
Alles läuft in Ihrem Browser mit der WebCrypto-API. Tokens, Secrets und Schlüssel werden nie gesendet und nicht gespeichert, daher können Sie echte Tokens gefahrlos einfügen. Das Signieren hier dient zum Testen eigener Systeme; Produktionstokens sollten von Ihrem Auth-Server kommen, mit einem Schlüssel, den nur er besitzt.
Drücken Sie Ctrl+Enter zum Prüfen oder Signieren. Das Base64-Tool dekodiert ein einzelnes Segment von Hand, und der Password Generator erzeugt ein zufälliges Secret für HS256.
Ja. Dekodieren und Prüfen laufen in Ihrem Browser mit JavaScript und der WebCrypto-API. Token, Secret und jeder eingegebene Schlüssel verlassen die Seite nie und werden nicht gespeichert, sodass ein Produktionstoken privat bleibt. Behandeln Sie trotzdem jedes langlebige Token, das Sie irgendwo einfügen, als etwas, das Sie erneuern sollten.
Ein JWT ist signiert, nicht verschlüsselt. Header und Payload sind einfaches JSON in Base64URL-Kodierung, sodass jeder, der das Token hat, sie lesen kann. Secret oder Schlüssel werden nur zum Prüfen der Signatur gebraucht, die belegt, dass das Token vom Inhaber dieses Schlüssels ausgestellt und nicht verändert wurde.
Fügen Sie das Token ein, wählen Sie den Algorithmus aus dem Header (meist HS256 oder RS256), geben Sie bei HS-Algorithmen das gemeinsame Secret oder bei RS256 und ES256 den öffentlichen Schlüssel als PEM oder JWK ein und klicken Sie auf Prüfen oder drücken Sie Ctrl+Enter. Ein grünes Abzeichen heißt, die Signatur passt; ein rotes, dass der Schlüssel falsch ist oder das Token verändert wurde.
Sehen Sie auf das Abzeichen neben Claims erklärt. Es zeigt Gültig bis mit einem Datum, wenn der exp-Claim in der Zukunft liegt, sonst Abgelaufen vor einer Zeitspanne, und Nicht gültig vor, wenn ein nbf-Claim noch bevorsteht. Die Claims exp, iat und nbf werden außerdem als echte Daten mit relativen Zeiten angezeigt.
Ja. Öffnen Sie den Tab Kodieren & signieren, bearbeiten Sie das JSON von Header und Payload, wählen Sie HS256, HS384, HS512, RS256 oder ES256, nehmen Sie eine Ablaufvorgabe wie 1 Stunde oder 30 Tage und signieren Sie mit einem Secret oder privaten Schlüssel. Test-Schlüsselpaar erzeugen erstellt im Browser ein PEM-Schlüsselpaar für RS256 oder ES256.
HS256, HS384 und HS512 mit einem gemeinsamen Secret sowie RS256 und ES256 mit einem Schlüsselpaar. Tokens mit anderen Algorithmen werden trotzdem dekodiert und zeigen ihre Claims; nur die Signaturprüfung ist auf diese fünf beschränkt.
Kommen Sie nicht weiter? Fragen Sie zu JWT-Decoder, -Prüfer und -Encoder und jeder, der es weiß, kann antworten. Kein Konto nötig.