See inside any JWT — header, payload and expiry

Lim inn det kodede JWT-et (den lange eyJ …-strengen) i inndatafeltet. Verktøyet deler det på de to punktumene, Base64URL-dekoder header og nyttelast, og viser JSON-en for hver av dem pluss det rå signatursegmentet – alt uten å sende noen nettverksforespørsel.

Nei. Dekoderen tolker bare tokenet – den kontrollerer ikke signaturen mot en hemmelig eller offentlig nøkkel, fordi verifisering krever utstederens nøkkelmateriale. Bruk et JWT-bibliotek på serversiden for verifisering i produksjon; dette verktøyet er ment for inspeksjon og feilsøking.

Du får hodet (algoritme og nøkkel-id), nyttelastens claims (sub, iss, aud, iat, exp og eventuelle egendefinerte claims) og den rå signaturen. Standard tidsstempel-claims formateres som lesbare datoer, slik at du raskt kan oppdage utdaterte tokener.

Hvis nyttelasten inneholder standard-kravet «exp», sammenligner verktøyet det med gjeldende tidspunkt og viser enten «Gyldig til» eller «Token utløp» med det nøyaktige tidsstempelet. Tokens uten et exp-krav rapporteres som å ikke ha noen utløpstid.

Alle som leser nyttelasten i en JWT kan bruke den til den utløper, så produksjonstokener hører hjemme i private verktøy. Denne dekoderen kjører utelukkende i nettleseren din og overfører aldri tokenet, men den tryggeste regelen er å dekode kortlivede utviklingstokener når det er mulig.

En JWT har tre Base64URL-kodede segmenter atskilt med punktum: header (signeringsalgoritme), payload (kravene utstederen vil at verifikatoren skal stole på) og signatur (en MAC eller digital signatur over header.payload). Dekoding krever aldri en nøkkel – bare verifisering gjør det.

Et kompakt, URL-sikkert token bestående av tre Base64URL-segmenter — header, nyttelast og signatur — som bærer signerte opplysninger som en bruker-ID og en utløpstid. Det brukes mye til tilstandsløse innloggingsøkter og til å sikre API-forespørsler. Lim inn et over for å inspisere headeren og nyttelasten.

Under den dekodede headeren og nyttelasten limer du inn signeringshemmeligheten (for HS256) eller utstederens offentlige nøkkel i PEM- eller JWK-format (for RS256, ES256 og lignende) i feltet Verifiser signatur, og klikker deretter Verifiser. Merket som vises, forteller om signaturen er gyldig, ugyldig eller bruker en algoritme som verifisereren på nettlesersiden ikke støtter — alt beregnet lokalt, uten å sende token eller nøkkel noe sted.

For HMAC-algoritmer som HS256 limer du inn den rå delte hemmelige strengen. For asymmetriske algoritmer som RS256, RS384 eller ES256 trenger du utstederens offentlige nøkkel — aldri den private nøkkelen — oppgitt som en PEM-blokk eller en JWK; å lime inn feil halvdel av et asymmetrisk nøkkelpar vil få verifiseringen til å mislykkes selv om tokenet er gyldig.

Verifiser signatur-panelet støtter alle mainstream JOSE-algoritmer: HS256/384/512 (HMAC med en delt hemmelighet), RS256/384/512 (RSASSA-PKCS1-v1_5 med en RSA offentlig nøkkel), PS256/384/512 (RSA-PSS med en RSA offentlig nøkkel) og ES256/384/512 (ECDSA over den tilsvarende P-256/P-384/P-521-kurven). Tokener signert med "none" eller enhver algoritme utenfor denne lista rapporteres alltid som ikke støttet i stedet for å merkes som gyldige, noe som også beskytter deg mot det klassiske alg=none-forfalskningstrikset.

Den vanligste årsaken er at du limer inn ekstra mellomrom eller et avsluttende linjeskift i hemmelighetsboksen — verifisereren hasher de nøyaktige bytene du skriver inn, så en kopier-og-lim-inn-artefakt bryter samsvaret. Dobbeltsjekk også at du verifiserer det gjeldende tokenet: hvis JWT-en ble utstedt på nytt etter at du kopierte den, eller leverandørens hemmelighet er base64-kodet i stedet for en rå streng, dekod den først før du limer den inn.

Klikk Try sample JWT for å laste inn et demo-HS256-token med sub-, name-, iat- og exp-claims, slik at du kan se dekoding og utløpskontroll i praksis før du limer inn ditt eget token. Så snart et token ligger i boksen, dukker det opp en Clear-knapp ved siden av som tømmer inndataen med ett klikk.

Hvert av panelene Header, Payload og Signature har sin egen Kopier-knapp øverst til høyre som kopierer kun den seksjonens JSON (eller den rå signaturstrengen) til utklippstavlen. Det finnes også en primærknapp Kopier Payload under panelene for det vanligste tilfellet der du bare skal ta med kravene for å lime inn i en feilsøker eller feilrapport.

Kopier verdien etter 'Bearer ' i Authorization-headeren — delen som starter med eyJ… er selve JWT-en — og lim den inn i dekoderen for å se header, payload-krav og utløpsstatus umiddelbart. Hvis du kopierer hele strengen 'Bearer eyJ…', må du fjerne 'Bearer '-prefikset først slik at tokenet har nøyaktig tre punktumseparerte deler.

Nei — dette er en dekoder og et visningsverktøy, ikke en JWT-redigerer. Å endre payloaden ville ugyldiggjort signaturen, så enhver server som verifiserer tokenet ville avvist den manipulerte versjonen. For å endre claims må du utstede et nytt token signert med riktig secret eller privat nøkkel. Bruk dekoderen til å lese og feilsøke tokens, ikke til å endre dem.