JWT-Dekodierer
JSON Web Tokens (Header, Payload, Signatur, Claims, Ablauf & Sicherheitshinweise) sicher in Ihrem Browser dekodieren und prüfen.
Was steckt in einem JWT?
Ein JSON Web Token (JWT) besteht aus drei durch Punkte getrennten, Base64URL-kodierten Teilen – einem Header, der den Signaturalgorithmus beschreibt, einem Payload mit Claims (z. B. einer Benutzer-ID oder einem Ablaufzeitpunkt) und einer Signatur. Dieses Tool dekodiert und zeigt alle drei Teile an, damit Sie den Inhalt eines Tokens untersuchen können.
So verwenden Sie den JWT Decoder
- Fügen Sie ein JWT in das Eingabefeld ein.
- Header und Payload werden automatisch dekodiert und angezeigt.
- Überprüfen Sie Claim-Werte wie Ablaufzeit (exp), Ausstellungszeitpunkt (iat) und Subjekt (sub) sowie den Signaturalgorithmus.
- Prüfen Sie die Statusanzeige für die Gültigkeit, um zu sehen, ob das Token noch gültig, bald ablaufend oder abgelaufen ist.
Technische Hinweise
- Dieses Tool dekodiert ein JWT – es überprüft die Signatur nicht. Das Dekodieren zeigt nur, was ein Token behauptet; um zu überprüfen, dass ein Token authentisch und unverändert ist, muss dessen Signatur gegen das korrekte Secret oder den öffentlichen Schlüssel geprüft werden, was dieses Tool bewusst nicht tut.
- Da Header und Payload eines JWT nur kodiert (nicht verschlüsselt) sind, kann jeder, der das Token besitzt, dessen Inhalt lesen – legen Sie niemals Geheimnisse in einen JWT-Payload.
- Ein Token mit alg auf "none" hat überhaupt keine Signatur und darf von keinem System jemals als authentisch vertraut werden.
Häufig gestellte Fragen
Prüft dieses Tool, ob ein JWT echt ist?+
Nein. Es dekodiert und zeigt Header, Payload und Claims an und weist auf Ablauf und alg=none hin, prüft aber nicht die Signatur. Ein dekodiertes Token zeigt nur, was es behauptet; um seine Echtheit zu belegen, muss die Signatur auf deinem Server gegen den geheimen oder öffentlichen Schlüssel des Ausstellers verifiziert werden.
Ist die Payload eines JWT verschlüsselt?+
Nein. Header und Payload sind nur Base64URL-kodiert, sodass jeder, der das Token besitzt, sie lesen kann. Lege niemals Passwörter, Geheimnisse oder sensible personenbezogene Daten in die Payload eines JWT.
Was bedeutet "alg": "none" in einem Token?+
Es bedeutet, dass das Token überhaupt keine Signatur trägt. Ein solches Token bietet keinerlei Integritäts- oder Echtheitsgarantie und muss von jedem System abgelehnt werden, das sich zur Authentifizierung auf JWTs stützt.