JWT-Decoder

Ein JWT dekodieren, Claims und Daten lesen und die Signatur prüfen — direkt im Browser.

Über JWT-Decoder

Was es ist

Der JWT-Decoder zerlegt ein JSON Web Token in Header und Payload und zeigt beide als lesbares JSON. Standard-Claims bekommen eine kurze Erklärung, und die Daten iat, nbf und exp werden als echte Daten angezeigt — mit dem Abstand zu jetzt. Mit dem Secret oder dem öffentlichen Schlüssel prüft das Tool auch, ob die Signatur gültig ist.

Hauptfunktionen

  • Header und Payload als formatiertes JSON, mit Erklärung jedes Standard-Claims.
  • iat, nbf und exp als Datum, und ob das Token abgelaufen ist.
  • Signaturprüfung für HS256/384/512 mit einem Secret sowie RS256/384/512 und ES256/384/512 mit einem öffentlichen Schlüssel im PEM-Format.
  • Optionale Prüfung über eine JWKS-Adresse, mit Schlüsselauswahl über kid.
  • Eine Warnung bei einem unsignierten Token (alg: none) und bei einem doppelten Claim.
  • Ein Bearbeitungsmodus: Ändere den Payload, und mit einem HS256-Secret wird das Token sofort neu signiert.

So funktioniert es

  1. Füge das Token in den Editor ein, zieh eine Datei darauf oder klick auf „Beispiel“.
  2. Lies Header und Payload; fahr mit der Maus über einen Claim, um seine Bedeutung zu sehen.
  3. Gib zur Signaturprüfung das Secret, den öffentlichen Schlüssel oder eine JWKS-Adresse ein.
  4. Kopiere Header, Payload oder Token, oder schick den Payload an ein anderes Tool weiter.

Wann es hilft

  • Herausfinden, warum eine API ein Token ablehnt: abgelaufen, noch nicht gültig oder falsche Audience.
  • Prüfen, welche Rollen und Rechte ein Token eines Identity-Providers enthält.
  • Sicherstellen, dass ein Token mit dem erwarteten Schlüssel signiert wurde.

Datenschutz und Grenzen

Deine Daten

Token, Secret und Schlüssel bleiben in deinem Browser und werden nicht an einen Server gesendet — die Website erhält nur ein anonymes Ereignis „Tool geöffnet“, ohne Inhalt. Gibst du eine JWKS-Adresse ein, lädt dein Browser die Schlüssel direkt von dort. Der Verlauf ist aus, bis du „Verlauf speichern“ einschaltest; dann bleiben die letzten Tokens nur in diesem Browser. Ein „Teilen“-Link enthält das Token im Link selbst — ein Token ist oft ein gültiger Zugang, teile es also nur, wenn es abgelaufen oder ein Test-Token ist.

Grenzen

  • PS256- und EdDSA-Signaturen werden nicht geprüft; das Tool meldet, dass der Algorithmus nicht unterstützt wird.
  • Das Dekodieren allein beweist nichts: Solange die Signatur nicht geprüft ist, gilt der Inhalt als unbestätigt.

Häufige Fragen

Warum ist die Signatur noch nicht geprüft?

Zum Lesen eines JWT braucht man keinen Schlüssel, zum Prüfen der Signatur schon. Gib das Secret für HS-Algorithmen oder den öffentlichen Schlüssel für RS und ES ein, dann prüft das Tool sofort.

Woran sehe ich, ob ein Token abgelaufen ist?

Der Claim exp wird als Datum mit „Gültig“ oder „Abgelaufen“ und dem Abstand zu jetzt angezeigt, in deiner Ortszeit.

Ist es sicher, hier ein echtes Token einzufügen?

Das Token wird nirgendwohin gesendet, aber behandle es wie ein Passwort: Teile es nicht über „Teilen“ und schalte den Verlauf nur auf deinem eigenen Gerät ein.

Wozu dient eine JWKS-Adresse?

Viele Identity-Provider veröffentlichen ihre öffentlichen Schlüssel unter einer JWKS-URL. Gib sie ein, und das Tool nimmt den Schlüssel, dessen kid zum Token-Header passt, und prüft damit die Signatur.