JWT-dekoder – afkod JSON Web Tokens og tjek udløb online

Indsæt den kodede JWT (den lange eyJ…-streng) i inputfeltet. Værktøjet deler den ved de to punktummer, Base64URL-afkoder headeren og payloaden og viser JSON'en for hver plus det rå signatursegment — alt sammen uden at sende nogen netværksforespørgsel.

Nej. Afkoderen parser kun tokenet — den kontrollerer ikke signaturen mod en hemmelig eller offentlig nøgle, fordi verificering kræver udstederens nøglemateriale. Brug et JWT-bibliotek på serversiden til verificering i produktion; dette værktøj er til inspektion og fejlfinding.

Du får headeren (algoritme og nøgle-id), payload-claims (sub, iss, aud, iat, exp og eventuelle brugerdefinerede claims) og den rå signatur. Standard-tidsstempel-claims formateres som læsbare datoer, så du kan opdage forældede tokens med et enkelt blik.

Hvis nyttelasten indeholder standard-claimet "exp", sammenligner værktøjet det med det aktuelle tidspunkt og viser enten "Gyldig indtil" eller "Token udløb kl." med det præcise tidsstempel. Tokens uden et exp-claim rapporteres som havende ingen udløbsdato.

Alle, der kan læse indholdet af en JWT, kan bruge den, indtil den udløber, så produktionstokens hører hjemme i private værktøjer. Denne afkoder kører udelukkende i din browser og sender aldrig token videre, men den sikreste regel er at afkode kortlivede udviklingstokens, når det er muligt.

En JWT har tre Base64URL-kodede segmenter adskilt af punktummer: header (signeringsalgoritme), payload (de claims, udstederen vil have verifikatoren til at stole på) og signatur (en MAC eller digital signatur over header.payload). Afkodning kræver aldrig en nøgle — kun verifikation gør.

Et kompakt, URL-sikkert token bestående af tre Base64URL-segmenter — header, payload og signatur — der bærer signerede claims som et bruger-ID og et udløbstidspunkt. Det bruges i vid udstrækning til tilstandsløse login-sessioner og til at sikre API-anmodninger. Indsæt et ovenfor for at inspicere dets header og payload.

Under den afkodede header og payload indsætter du signeringshemmeligheden (for HS256) eller udstederens offentlige nøgle i PEM- eller JWK-format (for RS256, ES256 og lignende) i feltet Verificér signatur og klikker derefter på Verificér. Mærket, der vises, angiver, om signaturen er gyldig, ugyldig eller bruger en algoritme, som verifikatoren på browsersiden ikke understøtter — alt beregnes lokalt uden at sende token eller nøgle nogen steder hen.

For HMAC-algoritmer som HS256 indsætter du den rå delte hemmelighedsstreng. For asymmetriske algoritmer som RS256, RS384 eller ES256 skal du bruge udstederens offentlige nøgle — aldrig den private nøgle — angivet som en PEM-blok eller en JWK; indsætter du den forkerte halvdel af et asymmetrisk nøglepar, fejler verificeringen, selv om tokenet er gyldigt.

Verificér signatur-panelet understøtter alle udbredte JOSE-algoritmer: HS256/384/512 (HMAC med en delt hemmelighed), RS256/384/512 (RSASSA-PKCS1-v1_5 med en offentlig RSA-nøgle), PS256/384/512 (RSA-PSS med en offentlig RSA-nøgle) og ES256/384/512 (ECDSA over den matchende P-256/P-384/P-521-kurve). Tokens signeret med "none" eller enhver algoritme uden for denne liste rapporteres altid som ikke-understøttet i stedet for at blive markeret som gyldige, hvilket også beskytter dig mod det klassiske alg=none-forfalskningstrick.

Den mest almindelige årsag er, at man indsætter ekstra mellemrum eller et efterfølgende linjeskift i hemmelighedsboksen — verificeringsværktøjet hasher præcis de bytes, du indtaster, så en kopiér-indsæt-artefakt bryder matchet. Dobbelttjek også, at du verificerer det aktuelle token: hvis JWT'en blev genudstedt, efter du kopierede den, eller udbyderens hemmelighed er base64-kodet frem for en rå streng, så afkod den først, før du indsætter den.

Klik på Prøv eksempel-JWT for at indlæse en demo-HS256-token med sub-, name-, iat- og exp-claims, så du kan se afkodning og udløbstjek fungere, før du indsætter din egen token. Når en token er i feltet, vises en Ryd-knap ved siden af den, som tømmer inputtet igen med ét klik.

Hvert af panelerne Header, Payload og Signature har sin egen Kopiér-knap i øverste højre hjørne, der kun kopierer det pågældende afsnits JSON (eller den rå signaturstreng) til udklipsholderen. Der er også en primær Copy Payload-knap under panelerne til det mest almindelige tilfælde, hvor du blot vil gribe claims for at indsætte dem i en debugger eller en fejlrapport.