JWT Decoder online
Dekodiere ein JSON Web Token, um Header, Claims und Ablauf zu lesen, und prüfe die Signatur mit einem Secret, das du selbst angibst. Nimm Test-Tokens, keine Produktiv-Secrets.
Browser-Tool
Token
Füge ein JWT ein. Es wird auf diesem Gerät dekodiert und nirgendwo gespeichert oder hingeschickt.
Über JWT untersuchen
Ein Token dekodieren, um Header, Claims und Ablauf zu lesen, und eine Signatur mit einem Secret prüfen, das du selbst angibst. Gleich vorweg und ohne Umschweife: Ein JWT ist kodiert, nicht verschlüsselt, und wer eines besitzt, kann alles darin lesen. Kostenlos, online und bewusst ohne Konto. Das Token wird in deinem Browser dekodiert und nie hochgeladen, und nur so ist der Umgang damit verantwortbar.
So nutzt du JWT untersuchen
- Token einfügenDie drei durch Punkte getrennten Teile werden dekodiert und als lesbares JSON angezeigt.
- Claims und Zeitangaben lesenAusstellungszeit, Ablauf und „nicht vor“ sind im rohen Token numerische Zeitstempel und werden hier als Datum angezeigt.
- Nur mit einem Test-Secret prüfenZum Prüfen der Signatur braucht es den Signaturschlüssel. Nimm einen aus der Entwicklung: Ein Produktiv-Secret gehört in keine Webseite, auch nicht in diese.
Base64url ist keine Verschlüsselung
Header und Payload eines normalen JWT sind base64url-kodiertes JSON, das jedes Werkzeug ohne Schlüssel dekodieren kann. Die Signatur beweist, dass das Token von jemandem mit dem Secret ausgestellt und nicht verändert wurde; den Inhalt verbirgt sie nicht. Wer etwas Vertrauliches in einen Claim schreibt, veröffentlicht es für jeden, der das Token besitzt.
Der alg-none-Angriff
Die Spezifikation erlaubt den Algorithmus „none“, also unsigniert. Ein Prüfer, der den Header den Algorithmus wählen lässt, kann ein Token mit none bekommen und akzeptiert dann eine unsignierte Fälschung. Korrekte Implementierungen legen den erwarteten Algorithmus auf ihrer Seite fest, statt ihn aus dem Token zu lesen, und genau deshalb kennzeichnet diese Seite ein Token mit dem Algorithmus none deutlich.
Was das Tool nicht kann
- Dekodieren beweist nichts über die Gültigkeit. Das tut nur die Prüfung mit dem richtigen Schlüssel, und den kennt nur dein Server.
- Eine gültige Signatur heißt nicht, dass das Token noch aktuell ist: Prüfe auch Ablauf und „nicht vor“.
- Nichts, was du hier einfügst, wird übertragen, und gerade deshalb lautet der Rat trotzdem, ein Test-Token zu nehmen.
JWT untersuchen: häufige Fragen
- Ist es sicher, ein JWT in ein Web-Tool einzufügen?
- Hier wird nichts übertragen, das kannst du im Netzwerk-Tab nachprüfen. Behandle ein Produktiv-Token trotzdem als gültigen Zugang: Wer es bekommt, kann bis zum Ablauf als dieser Nutzer handeln. Nimm ein Test-Token, wann immer es geht.
- Kann ich die Payload ohne das Secret sehen?
- Ja, und jeder andere auch. Die Payload ist bloß kodiert. Das Secret braucht man, um die Signatur zu prüfen, nie, um den Inhalt zu lesen, und deshalb gehören vertrauliche Daten nicht in einen Claim.
- Kann dieser JWT-Decoder auch ein neues Token erstellen oder signieren?
- Nein, er dekodiert nur Tokens und prüft Signaturen; ein JWT erstellen oder signieren kannst du hier nicht. Die Prüfung umfasst HS256/384/512 mit gemeinsamem Secret sowie RS-, PS- und ES-Algorithmen mit einem öffentlichen Schlüssel im PEM-Format. Ein verschlüsseltes JWE aus fünf Teilen lässt sich ohne seinen Schlüssel nicht öffnen.
Fragen zu ToolsVerse selbst – Datenschutz, Kosten, was mit deinen Dateien passiert – beantworten die häufig gestellten Fragen.
Ähnliche Tools
Die Tools, die man zusammen mit JWT untersuchen am häufigsten braucht.
Du findest das passende Tool nicht?
Sag uns, was du suchst, und wir prüfen, ob wir es hinzufügen.