Was ist JWT-Decoder?

Fügen Sie einen JSON Web Token ein, um Header, Payload und Signatur dekodiert anzuzeigen. Prüfen Sie Token-Claims, kontrollieren Sie Ablaufzeiten und debuggen Sie Authentifizierungsprobleme in Sekunden.

Der Decoder zerlegt das Token an den Punkten, entschlüsselt Header und Payload per Base64URL und parst beides als JSON. Sichtbar sind der Signatur-Algorithmus (HS256, RS256, EdDSA usw.), alle reservierten Claims (iss, sub, aud, exp, iat, nbf, jti) und alle benutzerdefinierten Claims deines Dienstes. Zeit-Claims werden vom Unix-Epoch in deine lokale Zeitzone übersetzt — abgelaufene Tokens fallen sofort auf.

Anleitung

1. Fügen Sie Ihr JWT-Token in das Eingabefeld ein — die drei Base64-kodierten Abschnitte werden automatisch erkannt.
2. Sehen Sie den dekodierten Header (Algorithmus, Typ) und Payload (Claims, Ablaufzeit, Aussteller) nebeneinander.
3. Kopieren Sie einzelne dekodierte Abschnitte oder die vollständige Ausgabe.

Wann verwenden

• Einen 401-Fehler debuggen, indem du prüfst, ob der exp-Wert des Bearer-Tokens bereits vorbei ist.
• Vor dem Produktiv-Rollout sicherstellen, dass ein Staging-Token die richtigen aud- und iss-Werte enthält.
• Die user_id oder die Scopes auslesen, die ein externer SSO-Anbieter in das Access-Token gepackt hat.

Ergebnis

Sie debuggen einen 401-Fehler in Ihrer API. Fügen Sie das Bearer-Token aus dem Request-Header ein, um zu prüfen, ob der 'exp'-Claim bereits abgelaufen ist oder ob der 'aud'-Claim mit Ihrer erwarteten Zielgruppe übereinstimmt.

Häufige Fragen

Verifiziert das Werkzeug die Signatur?

Bei HMAC-Token (HS256, HS384, HS512) fügst du das Secret ein, und das Werkzeug prüft die Signatur direkt auf deinem Gerät. Für RS- und ES-Token (RS256/384/512, ES256/384/512) fügst du den PEM-Public-Key des Ausstellers ein, und die Prüfung läuft genauso. In beiden Fällen verlässt das Secret oder der Schlüssel dein Gerät nie.

Ist es unbedenklich, ein echtes Produktiv-Token einzufügen?

Die Decodierung passiert auf deinem Gerät, das Token geht an keinen Server. Ein Bearer-Token verschafft jedem, der es besitzt, die Rechte des Nutzers — das größere Risiko sind also Mitleser am Bildschirm, nicht das Werkzeug.

Was heißt es, wenn alg 'none' ist?

Manche älteren Bibliotheken akzeptierten unsignierte Tokens mit alg=none — ein bekanntes Angriffsmuster. Produktive APIs müssen solche Tokens ablehnen. Taucht 'none' in einem Authentifizierungs-Token auf, ist die Konfiguration kaputt.

Warum erscheinen exp und iat als Zahlen statt als Datum?

JWTs speichern Zeitstempel als Sekunden seit dem 01.01.1970 UTC. Der Decoder zeigt daneben ein lesbares lokales Datum, damit du ohne Kopfrechnen erkennst, ob das Token abgelaufen ist.

Kann ich verschlüsselte Tokens (JWE) decodieren?

JWE besteht aus fünf punktgetrennten Teilen und ist verschlüsselt, nicht nur signiert. Dieses Werkzeug liest JWS (drei Teile: header.payload.signature). Für JWE brauchst du den Entschlüsselungsschlüssel, der konstruktionsbedingt nur auf dem Empfängerserver liegen darf.

Ähnliche Tools