Base64 kodieren und dekodieren
Text in Base64 kodieren oder wieder zurückwandeln.
JWT-Decoder
Lies Header und Payload eines JSON Web Tokens und sieh, wann es abläuft.
Deine Dateien bleiben auf deinem Gerät
So funktioniert es
- 1Füge das Token ein. Ein vorangestelltes „Bearer “ ist in Ordnung.
- 2Lies den dekodierten Header und die Payload.
- 3Prüfe die Kacheln für Algorithmus, Ausstellungszeit und Ablauf.
- 4Kopiere das JSON, das du brauchst.
Datenschutz
Das Token wird in deinem Browser dekodiert und nie an einen Server gesendet. Behandle aktive Tokens trotzdem als Geheimnisse und nutze nach Möglichkeit Test-Tokens.
Häufige Fragen
Prüft das die Signatur?
Nein. Es dekodiert nur. Für die Prüfung braucht man das Geheimnis oder den öffentlichen Schlüssel, und sie sollte von deinem Server durchgeführt werden. Ein dekodiertes Token ist kein Beweis, dass es echt ist.
Ist es sicher, ein Produktions-Token einzufügen?
Das Dekodieren passiert lokal und nichts wird hochgeladen, aber jeder mit einem gültigen Token kann es bis zum Ablauf nutzen. Füge aktive Tokens in keine Seite ein, der du nicht vertraust, und widerrufe eines, wenn es durchsickert.
Was bedeuten exp, iat und nbf?
exp ist die Ablaufzeit, iat der Zeitpunkt der Ausstellung und nbf die Zeit, vor der es nicht akzeptiert werden darf. Alle sind Unix-Zeiten in Sekunden, hier als UTC-Daten angezeigt.
Warum heißt es, ein JWT habe drei Teile?
Ein JWT ist Header.Payload.Signatur, jeder Teil Base64URL-kodiert und durch Punkte verbunden. Ein Token mit zwei Teilen ist unsigniert, und eines mit fünf Teilen ist ein verschlüsseltes JWE, das ohne Schlüssel nicht gelesen werden kann.
Ist die Payload verschlüsselt?
Nein. Ein normales signiertes JWT ist nur kodiert. Jeder, der es hat, kann die Payload lesen, setze also nie Geheimnisse hinein.