JWT-Decoder – JSON Web Tokens online dekodieren und Ablauf prüfen

Füge das codierte JWT (die lange eyJ…-Zeichenfolge) in das Eingabefeld ein. Das Tool trennt es an den beiden Punkten, decodiert Header und Payload per Base64URL und zeigt das JSON für beide sowie das rohe Signatursegment an – und das ganz ohne Netzwerkanfrage.

Nein. Der Decoder parst lediglich das Token – er prüft die Signatur nicht gegen einen geheimen oder öffentlichen Schlüssel, da die Verifizierung das Schlüsselmaterial des Ausstellers erfordert. Verwenden Sie für die Verifizierung im Produktivbetrieb eine serverseitige JWT-Bibliothek; dieses Tool dient der Inspektion und dem Debugging.

Du erhältst den Header (Algorithmus und Key-ID), die Payload-Claims (sub, iss, aud, iat, exp sowie alle benutzerdefinierten Claims) und die rohe Signatur. Standard-Zeitstempel-Claims werden als gut lesbare Datumsangaben formatiert, sodass du veraltete Tokens auf einen Blick erkennst.

Enthält die Payload den standardmäßigen „exp"-Claim, vergleicht das Tool ihn mit der aktuellen Zeit und zeigt entweder „Gültig bis" oder „Token abgelaufen am" mit dem genauen Zeitstempel an. Tokens ohne exp-Claim werden als ohne Ablaufdatum ausgewiesen.

Wer die Payload eines JWT lesen kann, kann es bis zum Ablauf verwenden – Produktiv-Tokens gehören daher in private Tools. Dieser Decoder läuft vollständig in deinem Browser und überträgt das Token niemals; die sicherere Regel ist jedoch, nach Möglichkeit nur kurzlebige Entwicklungs-Tokens zu decodieren.

Ein JWT besteht aus drei Base64URL-kodierten, durch Punkte getrennten Segmenten: Header (Signaturalgorithmus), Payload (die Claims, denen der Aussteller den Prüfer vertrauen lassen will) und Signatur (ein MAC oder eine digitale Signatur über header.payload). Zum Dekodieren wird nie ein Schlüssel benötigt – nur zur Verifizierung.

Ein kompaktes, URL-sicheres Token aus drei Base64URL-Segmenten – Header, Payload und Signatur –, das signierte Angaben wie eine Benutzer-ID und eine Ablaufzeit enthält. Es wird häufig für zustandslose Login-Sitzungen und zur Absicherung von API-Anfragen verwendet. Fügen Sie oben eines ein, um Header und Payload zu untersuchen.

Fügen Sie unter dem decodierten Header und der Payload das Signaturgeheimnis (für HS256) oder den öffentlichen Schlüssel des Ausstellers im PEM- oder JWK-Format (für RS256, ES256 und ähnliche) in das Feld „Signatur verifizieren“ ein und klicken Sie dann auf „Verifizieren“. Das eingeblendete Abzeichen meldet, ob die Signatur gültig oder ungültig ist oder einen Algorithmus verwendet, den der browserseitige Prüfer nicht unterstützt — alles lokal berechnet, ohne Token oder Schlüssel irgendwohin zu senden.

For HMAC algorithms like HS256 you paste the raw shared secret string. For asymmetric algorithms like RS256, RS384 or ES256 you need the issuer's public key — never the private key — supplied as a PEM block or a JWK; pasting the wrong half of an asymmetric key pair will make verification fail even though the token is valid.

The Verify signature panel supports every mainstream JOSE algorithm: HS256/384/512 (HMAC with a shared secret), RS256/384/512 (RSASSA-PKCS1-v1_5 with an RSA public key), PS256/384/512 (RSA-PSS with an RSA public key) and ES256/384/512 (ECDSA over the matching P-256/P-384/P-521 curve). Tokens signed with "none" or any algorithm outside this list are always reported as unsupported rather than marked valid, which also protects you from the classic alg=none forgery trick.

The most common cause is pasting extra whitespace or a trailing newline into the secret box — the verifier hashes the exact bytes you enter, so a copy-paste artifact breaks the match. Also double-check you're verifying the current token: if the JWT was re-issued after you copied it, or the provider's secret is base64-encoded rather than a raw string, decode it first before pasting it in.

Klicke auf Try sample JWT, um ein Demo-HS256-Token mit den Claims sub, name, iat und exp zu laden, damit du siehst, wie Dekodierung und Ablaufprüfung funktionieren, bevor du dein eigenes Token einfügst. Sobald ein Token im Feld steht, erscheint daneben eine Clear-Schaltfläche, die die Eingabe mit einem Klick wieder leert.

Each of the Header, Payload and Signature panels has its own Copy button in its top-right corner that copies only that section's JSON (or the raw signature string) to your clipboard. There's also a primary Copy Payload button below the panels for the most common case of grabbing just the claims to paste into a debugger or bug report.