JWT Decoder

Розбір JWT, перегляд claims і дат та перевірка підпису — просто в браузері.

Про JWT Decoder

Що це

JWT Decoder розкладає JSON Web Token на header і payload та показує їх як читабельний JSON. Стандартні claims мають коротке пояснення, а дати iat, nbf і exp показано як справжні дати з тим, скільки часу минуло чи лишилося. Із секретом або публічним ключем інструмент ще й перевіряє, чи дійсний підпис.

Основні можливості

  • Header і payload як відформатований JSON, з поясненням кожного стандартного claim.
  • iat, nbf і exp як дати, а також чи не прострочено токен.
  • Перевірка підпису HS256/384/512 секретом, а RS256/384/512 і ES256/384/512 — публічним ключем у PEM.
  • Перевірка за адресою JWKS за бажанням, з вибором ключа за kid.
  • Попередження про непідписаний токен (alg: none) і про claim, що повторюється.
  • Режим редагування: змінюйте payload, і з секретом HS256 токен перепідписується одразу.

Як користуватися

  1. Вставте токен у редактор, перетягніть на нього файл або натисніть «Приклад».
  2. Перегляньте header і payload; наведіть на claim, щоб побачити його значення.
  3. Щоб перевірити підпис, введіть секрет, публічний ключ або адресу JWKS.
  4. Скопіюйте header, payload чи токен або надішліть payload в інший інструмент.

Коли корисно

  • З'ясувати, чому API відхиляє токен: прострочений, ще не дійсний чи не та аудиторія.
  • Перевірити, які ролі й дозволи містить токен від провайдера ідентифікації.
  • Переконатися, що токен підписано очікуваним ключем.

Конфіденційність та обмеження

Ваші дані

Токен, секрет і ключі лишаються в браузері й не надсилаються на сервер — сайт отримує лише анонімну подію «інструмент відкрито», без вмісту. Якщо ви вводите адресу JWKS, ключі за нею завантажує безпосередньо ваш браузер. Історія вимкнена, доки ви не ввімкнете «Зберігати історію»; тоді останні токени зберігаються лише в цьому браузері. Посилання «Поділитися» містить токен у самій адресі — токен часто є робочим доступом, тож діліться ним, лише якщо він прострочений або тестовий.

Обмеження

  • Підписи PS256 і EdDSA не перевіряються — інструмент повідомить, що алгоритм не підтримується.
  • Саме декодування нічого не доводить: доки підпис не перевірено, вважайте вміст непідтвердженим.

Поширені запитання

Чому підпис ще не перевірено?

Щоб прочитати JWT, ключ не потрібен, а щоб перевірити підпис — потрібен. Введіть секрет для алгоритмів HS або публічний ключ для RS і ES, і інструмент перевірить його одразу.

Як дізнатися, чи токен прострочений?

Claim exp показано як дату з позначкою «Дійсний» чи «Прострочений» і тим, скільки часу минуло чи лишилося, у вашому місцевому часі.

Чи безпечно вставляти сюди справжній токен?

Токен нікуди не надсилається, але поводьтеся з ним як із паролем: не діліться ним через «Поділитися» й умикайте історію лише на власному пристрої.

Навіщо адреса JWKS?

Багато провайдерів ідентифікації публікують свої публічні ключі за адресою JWKS. Введіть її, і інструмент візьме ключ, kid якого збігається з header токена, та перевірить ним підпис.