Was ist der JWT-Decoder?
Der JWT-Decoder parst JSON Web Tokens in ihre drei Teile, sodass Sie Header, Payload-Claims, Algorithmus und Signatursegment prüfen können. Er ist nützlich zur Fehlersuche bei der Authentifizierung, für Ablaufprüfungen und um zu verstehen, was ein Token tatsächlich enthält, ohne es an einen Server zu senden.
So verwenden Sie den JWT-Decoder
- Fügen Sie das JWT in den Eingabebereich ein.
- Prüfen Sie die dekodierten Header- und Payload-Abschnitte.
- Prüfen Sie Claims wie exp, iss, aud, sub und benutzerdefinierte Felder.
- Kopieren Sie die dekodierten Werte oder vergleichen Sie sie mit Ihren Erwartungen an den Auth-Flow.
JWTs verstehen ▾
Beispiel
Häufige Anwendungsfälle
- Token-Claims beim Debuggen von API und Authentifizierung prüfen
- Ablauf-, Aussteller-, Audience- und Subject-Werte ohne Backend-Tools prüfen
- Bestätigen, welchen Signaturalgorithmus und welche Token-Struktur ein System verwendet
- Vermitteln, wie JWT-Header, Payload und Signatursegmente zusammengehören
Warum dieses Tool verwenden
- Hilft beim Debuggen von Login-Flows, API-Autorisierung und Token-Ablaufproblemen.
- Macht die JWT-Struktur für Teammitglieder und Stakeholder leichter erklärbar.
- Läuft lokal, damit eingefügte Tokens bei der Prüfung nicht hochgeladen werden.
Häufig gestellte Fragen
Ja. Die Dekodierung läuft vollständig in Ihrem Browser und das Token wird niemals an einen Server gesendet. Vermeiden Sie dennoch, Produktions-Tokens mit sensiblen Claims in öffentliche Tools einzufügen, es sei denn, Sie sind sicher, dass diese ausschließlich clientseitig arbeiten.
Nein. Die Signaturprüfung erfordert das Secret (HMAC) oder den öffentlichen Schlüssel (RSA/EC). Dieses Tool dekodiert nur den Base64URL-kodierten Header und Payload; die Verifizierung muss auf Ihrem Server erfolgen.
Der exp-Claim ist ein Unix-Zeitstempel, der angibt, wann das Token ungültig wird. Liegt die aktuelle Zeit nach diesem Zeitstempel, lehnt der Server das Token ab und Sie müssen sich erneut authentifizieren.
Session-Cookies speichern eine Session-ID auf dem Server und werden bei jeder Anfrage nachgeschlagen. JWTs sind eigenständig: Alle Claims stecken im Token selbst, daher ist keine serverseitige Session-Speicherung nötig. Das macht JWTs in zustandslosen, verteilten Systemen nützlich.