Untersuche Header, Payload-Daten und Signatur von JWT-Tokens und prüfe Ablaufdaten in Echtzeit.
{} {} -
Untersuche Header, Payload-Daten und Signatur von JWT-Tokens und prüfe Ablaufdaten in Echtzeit. Geeignet für Alltag, Entwicklung, Lernen und schnelle Prüfungen.
Dieses Tool läuft im Browser. Prüfe vor sensiblen Daten, ob du deinem Gerät und Browser vertraust.
Ein JWT (JSON Web Token) ist das gängigste Format für API-Anmeldedaten. Es besteht aus drei durch Punkte getrennten Zeichenketten. Der Header nennt den Signaturalgorithmus (etwa HS256 oder RS256) und den Typ. Der Payload enthält Claims wie Benutzer-ID, Rollen und Ablaufzeit. Die Signatur berechnet der Server mit einem Schlüssel über die ersten beiden Teile; sie belegt, dass nichts manipuliert wurde. Die ersten beiden Teile sind nur Base64URL-kodiert, nicht verschlüsselt.
Füge ein Token ein, und das Tool dekodiert Header und Payload sofort zu formatiertem JSON; die Signatur wird unverändert angezeigt. Gängige Zeit-Claims werden in lesbare Ortszeit umgerechnet: exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt und nbf der Gültigkeitsbeginn (vorher darf das Token nicht akzeptiert werden). Anhand von exp zeigt das Tool außerdem, ob das Token abgelaufen ist. Praktisch zum Debuggen von Login-Abläufen, zum Prüfen von Rollen-Claims oder um herauszufinden, warum Nutzer ständig abgemeldet werden.
Wichtig: Dekodieren ist keine Verifizierung. Das Tool prüft die Signatur nicht mit einem Schlüssel, und jeder kann einen legitim wirkenden Payload fälschen. Dein Backend muss Signatur, Algorithmus und exp mit einer vertrauenswürdigen Bibliothek prüfen und Tokens mit alg „none“ ablehnen. Und da jeder den Payload lesen kann, gehören Passwörter, Ausweisnummern oder andere sensible Daten niemals in ein JWT.
Ein Token ist ein Login-Nachweis – wer es auf einer unbekannten Website einfügt, gibt den Kontozugang aus der Hand. Dieses Tool dekodiert vollständig im Browser und sendet oder speichert das Token nie. Trotzdem empfiehlt es sich, bei Produktivsystemen abgelaufene Tokens oder Testumgebungs-Beispiele zu verwenden.
Ein typisches JWT (JWS) ist signiert, nicht verschlüsselt. Header und Payload sind Base64URL-kodiert und für jeden lesbar.
Nein. Es dekodiert und zeigt nur den Inhalt. Die Signaturprüfung braucht den Schlüssel und gehört mit einer vertrauenswürdigen Bibliothek ins Backend.
exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt, nbf der Gültigkeitsbeginn. Alle drei sind Unix-Sekunden und werden hier als Ortszeit angezeigt.
Die Dekodierung erfolgt im Browser, das Token wird nicht hochgeladen. Da es ein Login-Nachweis ist, nutze für Produktivsysteme Test- oder abgelaufene Tokens.
Kategorie ansehen: Entwickler & Code
Kodiere und dekodiere Texte in Base64 und URLs in Echtzeit mit Berechnung von MD5- und SHA-256-Hashes.
URLs und Abfrageparameter mit encodeURI oder encodeURIComponent prozentkodieren und dekodieren.
Erzeugt RFC-9562-konforme UUID v4 oder zeitgeordnete v7 einzeln oder im Stapel.
Verschönere, komprimiere, prüfe die Syntax und finde Fehlerstellen in JSON-Dateien im Handumdrehen.
