JWT-Decoder
Liest ein JSON Web Token und zeigt riskante Einstellungen, etwa keinen Signaturalgorithmus, kein Ablaufdatum oder Geheimnisse im Payload. Die Signatur wird nicht geprüft, dafür braucht man den Schlüssel des Servers.
Nichts, was Sie eingeben, verlässt diese Seite
So funktioniert es
Ein JSON Web Token besteht aus drei durch Punkte getrennten Teilen: Header, Payload und Signatur. Die ersten beiden sind nur Base64url-kodiert, nicht verschlüsselt, jeder mit dem Token kann sie lesen. Dieser Decoder zeigt beide und wandelt die Datumsangaben (exp, iat, nbf) in lesbare Zeiten um.
Er markiert auch Einstellungen, die oft zu Schwachstellen führen: den Algorithmus „none“, fehlendes Ablaufdatum, sehr lange Gültigkeit, im Header genannte Schlüssel und Geheimnisse oder persönliche Daten im Payload.
Häufige Fragen
Ist es sicher, hier ein Token einzufügen?
Das Token wird nur in Ihrem Browser dekodiert und nie gesendet. Behandeln Sie echte Tokens trotzdem wie Passwörter und nehmen Sie lieber Test-Tokens.
Warum wird die Signatur nicht geprüft?
Dafür braucht man den geheimen oder öffentlichen Schlüssel des Servers. Ohne ihn kann kein Tool sagen, ob ein Token echt ist.
Sind JWTs verschlüsselt?
Normale signierte JWTs (JWS) nicht. Nur JWE-Tokens sind verschlüsselt, und bei ihnen ist nur der Header lesbar.
Weitere kostenlose Tools
Einen Fehler gefunden oder einen Wunsch für ein weiteres Tool? Kontakt