Ist es sicher, mein Token hier einzufügen?

Die Dekodierung erfolgt vollständig im Browser und das Token wird nie hochgeladen. Dennoch sollten Sie keine echten, sensiblen Token auf gemeinsam genutzten oder öffentlichen Computern einfügen.

Was ist der exp-Claim?

exp ist die Ablaufzeit als UNIX-Zeitstempel (Sekunden). Liegt er in der Vergangenheit, ist das Token abgelaufen. Dieses Tool zeigt ihn in Ihrer Ortszeit an.

Was passiert, wenn das Token ungültig ist?

Ist das Token kein gültiges JWT oder sind seine Teile kein korrektes Base64URL-JSON, wird statt eines Ergebnisses eine Fehlermeldung angezeigt.

Sollte ich mein JWT geheim halten?

Ja. Jeder mit dem Token kann seinen Payload lesen und könnte ihn bis zum Ablauf verwenden. Behandeln Sie Token daher wie Passwörter.

JWT-Decoder

JWT

Ihr Token wird im Browser dekodiert und nirgends gesendet.

Header

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022,
  "exp": 1900000000
}

Zeitangaben (Ihre Ortszeit)

exp17.03.2030, 17:46:40
iat18.01.2018, 01:30:22

Dieses Tool dekodiert das Token nur; es verifiziert die Signatur nicht, wofür der geheime oder öffentliche Schlüssel erforderlich wäre.

So wird's verwendet

Fügen Sie Ihr JWT in das Feld ein (die drei durch Punkte getrennten Teile).
Lesen Sie unten den dekodiertierten Header und Payload als formatierten JSON.
Prüfen Sie die Zeitangaben und den Ablaufstatus und kopieren Sie, was Sie benötigen.

So funktioniert es

Ein JWT besteht aus drei durch Punkte getrennten Teilen: header.payload.signature. Header und Payload sind Base64URL-kodiertes JSON und können von jedem dekodiert werden — sie sind nicht verschlüsselt. Die Signatur beweist, dass das Token nicht manipuliert wurde, aber ihre Verifikation erfordert den geheimen oder öffentlichen Schlüssel. Dieses Tool dekodiert daher nur und prüft die Signatur nie.

Funktionen

Header und Payload

Beide Teile werden dekodiert und als lesbares JSON formatiert dargestellt.

Lesbare Zeiten

Claims wie exp, iat und nbf werden in Ihrer Ortszeit angezeigt, nicht als rohe Zahlen.

Ablaufprüfung

Ein klares Badge zeigt, ob das Token noch gültig oder abgelaufen ist.

Ein-Klick-Kopieren

Kopieren Sie den Header- oder Payload-JSON mit einem Klick in die Zwischenablage.

Vollständig lokal

Ihr Token wird im Browser dekodiert und nie an einen Server gesendet.

Einsatzbereiche

API-Debugging

Untersuchen Sie Claims in einem Token beim Testen eines geschützten API-Endpunkts.

Authentifizierungsprobleme lösen

Prüfen Sie Benutzer, Rollen und Ablauf, wenn sich eine Anmeldung oder Sitzung unerwartet verhält.

Token untersuchen

Sehen Sie schnell, welche Daten ein JWT trägt, ohne Code schreiben zu müssen.

Lernen

Erkunden Sie die Struktur von JWTs, um zu verstehen, wie tokenbasierte Authentifizierung funktioniert.

Hinweise

Dieses Tool dekodiert nur; es verifiziert die Signatur nicht.
JWT-Payloads sind kodiert, nicht verschlüsselt — behandeln Sie sie nie als geheim.
Zeitangaben (exp, iat, nbf) sind UNIX-Sekunden, hier in Ihrer Ortszeit angezeigt.
Die Dekodierung erfolgt auf Ihrem Gerät, aber fügen Sie keine sensiblen Token auf gemeinsam genutzten Computern ein.

FAQ

Wird die Signatur verifiziert?: Nein. Die Verifikation einer JWT-Signatur erfordert den geheimen oder öffentlichen Schlüssel. Dieses Tool dekodiert nur Header und Payload, damit Sie sie lesen können.
Ist es sicher, mein Token hier einzufügen?: Die Dekodierung erfolgt vollständig im Browser und das Token wird nie hochgeladen. Dennoch sollten Sie keine echten, sensiblen Token auf gemeinsam genutzten oder öffentlichen Computern einfügen.
Was ist der exp-Claim?: exp ist die Ablaufzeit als UNIX-Zeitstempel (Sekunden). Liegt er in der Vergangenheit, ist das Token abgelaufen. Dieses Tool zeigt ihn in Ihrer Ortszeit an.
Was passiert, wenn das Token ungültig ist?: Ist das Token kein gültiges JWT oder sind seine Teile kein korrektes Base64URL-JSON, wird statt eines Ergebnisses eine Fehlermeldung angezeigt.
Sollte ich mein JWT geheim halten?: Ja. Jeder mit dem Token kann seinen Payload lesen und könnte ihn bis zum Ablauf verwenden. Behandeln Sie Token daher wie Passwörter.