JWT-Decoder
Dekodiere Header und Payload eines JWT zu lesbarem JSON, vollständig in deinem Browser - exp, iat und nbf werden als echte Daten statt Epoch-Zahlen angezeigt, und die Signatur wird genau so angezeigt, wie sie empfangen wurde, nie geprüft.
Füge eine Datei hinzu und starte das Tool.
Deine Datei ist bereit.
Versuch eine andere Datei, oder versuch es erneut.
Einstellungen
Passe die Einstellungen unten an. Das Ergebnis aktualisiert sich dabei.
Läuft komplett im Browser. Es wird nichts hochgeladen.
Läuft komplett im Browser. Nichts wird je auf einen Server hochgeladen.
So funktioniert es
Füge dein JWT ein.
Lies Header, Payload und Ablaufdatum.
Kopiere jeden Teil einzeln.
Häufige Fragen
Nein. Jedes JWT wird vollständig in deinem Browser dekodiert - nichts wird irgendwohin gesendet.
Nein, und das wird es nie tun. Eine Signatur zu prüfen braucht das Secret oder den öffentlichen Schlüssel, mit dem das Token ausgestellt wurde - genau danach auf einer öffentlichen Seite zu fragen ist die Gewohnheit, die dieses Tool bewusst vermeidet. Die Signatur wird genau so angezeigt, wie sie empfangen wurde, nie geprüft.
Nein. Der Payload eines JWT ist einfaches, lesbares Base64 - keine Verschlüsselung. Wer das Token besitzt, kann es bereits ohne jedes Tool lesen - genau deshalb gibt es diese Seite: um das offensichtlich zu machen, nicht um es zu verbergen.
Genauso sicher wie es von Hand zu dekodieren, nicht sicherer - nichts wird hochgeladen oder gespeichert. Aber ein dekodiertes Token bleibt ein sensibles Zugangsdaten-Objekt: Teile es nicht, und füge kein echtes Produktions-Token in ein Tool ein, dem du nicht vertraust - auch nicht in dieses.
Anleitungen
Ein genauerer Blick auf einzelne Probleme, die dieses Tool löst.
Why APIs Traded Server-Side Sessions for a Signed Token
A server-side session is simple and instantly revocable, but it needs a lookup every single server can reach on every request. A JWT trades that lookup for a signature - and gives up instant revocation to get it.
Anleitung lesenHow to Check Whether a JWT Has Expired, Without Doing the Epoch Math Yourself
A JWT's exp claim is a raw Unix timestamp - meaningless at a glance. Paste a token and the expiry, not-before, and issued-at claims come back as real dates with a plain valid/expired/not-yet-valid label, no manual conversion required.
Anleitung lesenDebugging a 401 by Reading What Your JWT's Claims Actually Say
A request that worked five minutes ago now returns 401, and the token looks fine at a glance. The fastest way to find out what changed is to decode it and read the claims in order, not guess.
Anleitung lesen
Kommentare