Декодируйте любой JWT, проверьте подпись и подпишите новые токены — всё в вашем браузере
Работает в вашем браузере. Ничего из того, что вы вводите, никуда не отправляется.JWT несёт свои claims в открытом виде, поэтому любой, у кого есть токен, может их прочитать: Base64 — это кодирование, а не шифрование. Инструмент декодирует 3 части, показывает срок действия и проверяет или подписывает токен с HS256, RS256 или ES256. Токен никогда не покидает ваш браузер.
Эта страница переведена машинным способом с английского оригинала. Перевод ещё не проверен человеком, поэтому ориентируйтесь на английскую версию. Читать английский оригинал
На вкладке "Декодировать и проверить" вставьте токен в поле Закодированный токен.
Прочитайте панели Заголовок, Payload и Разбор claims, которые появятся рядом.
Введите секрет или открытый ключ в формате PEM или JWK в поле ключа и нажмите Проверить.
Посмотрите результат: "Подпись подтверждена" или "Подпись недействительна".
Чтобы создать тестовый токен, откройте "Закодировать и подписать", выберите Алгоритм и срок действия, добавьте ключ и нажмите Подписать токен.
Этот декодер JWT читает любой JSON Web Token и показывает заголовок, payload и подпись как три части в соответствующих цветах. Для каждого стандартного claim даётся строка простым языком, срок действия превращается в настоящую дату со значком "действителен" или "истёк", а подпись можно проверить с HS256, HS384, HS512, RS256 или ES256.
К нему обращаются, когда вход в систему внезапно перестаёт работать и нужно понять, истёк ли токен или он выдан для другой аудитории. Это также самый быстрый способ увидеть, что сторонний API на самом деле кладёт в свои токены доступа, прежде чем писать код, зависящий от какого-либо claim. Вкладка кодирования работает в обратную сторону: когда вы строите процесс аутентификации и нужен токен с определённым субъектом, областью доступа и сроком действия для проверки своего сервиса, можно отредактировать JSON, выбрать алгоритм, задать срок и подписать секретом или сгенерированной тестовой парой ключей.
Всё работает в вашем браузере через WebCrypto API. Токены, секреты и ключи никуда не отправляются и не сохраняются, поэтому вставлять настоящие токены безопасно. Подпись здесь предназначена для проверки ваших собственных систем; рабочие токены должен выдавать ваш сервер аутентификации ключом, который есть только у него.
Нажмите Ctrl+Enter, чтобы проверить или подписать. Инструмент Base64 декодирует отдельный сегмент вручную, а Password Generator создаёт случайный секрет для HS256.
Да. Декодирование и проверка выполняются в вашем браузере с помощью JavaScript и WebCrypto API. Токен, секрет и любой введённый ключ никогда не покидают страницу и не сохраняются, поэтому рабочий токен остаётся конфиденциальным. И всё же любой долгоживущий токен, вставленный куда угодно, стоит заменить.
JWT подписан, а не зашифрован. Заголовок и payload — это обычный JSON в кодировке Base64URL, поэтому любой, у кого есть токен, может их прочитать. Секрет или ключ нужен только для проверки подписи, которая доказывает, что токен выдан владельцем этого ключа и не изменён.
Вставьте токен, выберите алгоритм из заголовка (обычно HS256 или RS256), введите общий секрет для алгоритмов HS или открытый ключ PEM или JWK для RS256 и ES256, затем нажмите Проверить или Ctrl+Enter. Зелёный значок означает, что подпись совпадает; красный — что ключ неверный или токен изменён.
Посмотрите на значок рядом с Разбором claims. Он показывает Действителен до и дату, если claim exp в будущем, иначе Истёк и сколько времени назад, а Недействителен до — если claim nbf ещё не наступил. Claims exp, iat и nbf также показаны настоящими датами с относительным временем.
Да. Откройте вкладку Закодировать и подписать, отредактируйте JSON заголовка и payload, выберите HS256, HS384, HS512, RS256 или ES256, возьмите готовый срок, например 1 час или 30 дней, и подпишите секретом или закрытым ключом. Создать тестовую пару ключей генерирует в браузере пару ключей PEM для RS256 или ES256.
HS256, HS384 и HS512 с общим секретом, а также RS256 и ES256 с парой ключей. Токены с другими алгоритмами всё равно декодируются и показывают свои claims; ограничена этими пятью только проверка подписи.
Всё ещё не получается? Задайте вопрос об инструменте «Декодер, проверка и кодировщик JWT» и ответить может любой, кто знает. Учётная запись не нужна.