JWT ਡੀਕੋਡਰ - ਆਨਲਾਈਨ JSON Web Token ਡੀਕੋਡ ਕਰੋ ਅਤੇ ਮਿਆਦ ਜਾਂਚੋ

ਐਨਕੋਡ ਕੀਤੇ JWT (ਲੰਮੀ eyJ… ਸਟ੍ਰਿੰਗ) ਨੂੰ ਇਨਪੁੱਟ ਬਾਕਸ ਵਿੱਚ ਪੇਸਟ ਕਰੋ। ਟੂਲ ਇਸ ਨੂੰ ਦੋ ਬਿੰਦੀਆਂ 'ਤੇ ਵੰਡਦਾ ਹੈ, ਹੈਡਰ ਅਤੇ ਪੇਲੋਡ ਨੂੰ Base64URL-ਡੀਕੋਡ ਕਰਦਾ ਹੈ, ਅਤੇ ਹਰੇਕ ਲਈ JSON ਦੇ ਨਾਲ-ਨਾਲ ਰਾਅ ਦਸਤਖ਼ਤ ਖੰਡ ਦਿਖਾਉਂਦਾ ਹੈ — ਉਹ ਵੀ ਕੋਈ ਨੈੱਟਵਰਕ ਬੇਨਤੀ ਕੀਤੇ ਬਿਨਾਂ।

ਨਹੀਂ। ਡੀਕੋਡਰ ਸਿਰਫ਼ ਟੋਕਨ ਨੂੰ ਪਾਰਸ ਕਰਦਾ ਹੈ — ਇਹ ਦਸਤਖਤ ਦੀ ਕਿਸੇ ਭੇਦ ਜਾਂ ਪਬਲਿਕ ਕੁੰਜੀ ਨਾਲ ਜਾਂਚ ਨਹੀਂ ਕਰਦਾ, ਕਿਉਂਕਿ ਤਸਦੀਕ ਲਈ ਜਾਰੀਕਰਤਾ ਦੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਪ੍ਰੋਡਕਸ਼ਨ ਤਸਦੀਕ ਲਈ ਸਰਵਰ-ਸਾਈਡ JWT ਲਾਇਬ੍ਰੇਰੀ ਵਰਤੋ; ਇਹ ਟੂਲ ਨਿਰੀਖਣ ਅਤੇ ਡੀਬੱਗਿੰਗ ਲਈ ਹੈ।

ਤੁਹਾਨੂੰ ਹੈਡਰ (ਐਲਗੋਰਿਦਮ ਅਤੇ ਕੀ id), ਪੇਲੋਡ ਕਲੇਮ (sub, iss, aud, iat, exp ਅਤੇ ਕੋਈ ਵੀ ਕਸਟਮ ਕਲੇਮ) ਅਤੇ ਕੱਚਾ ਸਿਗਨੇਚਰ ਮਿਲਦਾ ਹੈ। ਮਿਆਰੀ ਟਾਈਮਸਟੈਂਪ ਕਲੇਮ ਮਨੁੱਖ-ਪੜ੍ਹਨਯੋਗ ਤਾਰੀਖ਼ਾਂ ਵਜੋਂ ਫਾਰਮੈਟ ਹੁੰਦੇ ਹਨ ਤਾਂ ਜੋ ਤੁਸੀਂ ਪੁਰਾਣੇ ਟੋਕਨ ਇੱਕ ਨਜ਼ਰ ਵਿੱਚ ਪਛਾਣ ਸਕੋ।

ਜੇ ਪੇਲੋਡ ਵਿੱਚ ਮਿਆਰੀ "exp" ਕਲੇਮ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਟੂਲ ਇਸ ਦੀ ਮੌਜੂਦਾ ਸਮੇਂ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ ਅਤੇ ਸਹੀ ਟਾਈਮਸਟੈਂਪ ਨਾਲ ਜਾਂ ਤਾਂ "ਇਸ ਤੱਕ ਵੈਧ" ਜਾਂ "ਟੋਕਨ ਇਸ ਸਮੇਂ ਮਿਆਦ ਪੁੱਗ ਗਿਆ" ਦਿਖਾਉਂਦਾ ਹੈ। exp ਕਲੇਮ ਤੋਂ ਬਿਨਾਂ ਟੋਕਨਾਂ ਨੂੰ ਕੋਈ ਮਿਆਦ ਨਾ ਹੋਣ ਵਜੋਂ ਦੱਸਿਆ ਜਾਂਦਾ ਹੈ।

ਜੋ ਕੋਈ ਵੀ JWT ਦਾ ਪੇਅਲੋਡ ਪੜ੍ਹ ਲੈਂਦਾ ਹੈ, ਉਹ ਇਸ ਦੀ ਮਿਆਦ ਖ਼ਤਮ ਹੋਣ ਤੱਕ ਇਸ ਨੂੰ ਵਰਤ ਸਕਦਾ ਹੈ, ਇਸੇ ਕਰਕੇ ਪ੍ਰੋਡਕਸ਼ਨ ਟੋਕਨ ਨਿੱਜੀ ਟੂਲਾਂ ਵਿੱਚ ਹੀ ਰੱਖਣੇ ਚਾਹੀਦੇ ਹਨ। ਇਹ ਡੀਕੋਡਰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਚੱਲਦਾ ਹੈ ਅਤੇ ਟੋਕਨ ਨੂੰ ਕਿਤੇ ਨਹੀਂ ਭੇਜਦਾ, ਪਰ ਸੁਰੱਖਿਅਤ ਨਿਯਮ ਇਹੀ ਹੈ ਕਿ ਜਦੋਂ ਵੀ ਸੰਭਵ ਹੋਵੇ ਥੋੜ੍ਹੇ ਸਮੇਂ ਵਾਲੇ ਡਿਵੈਲਪਮੈਂਟ ਟੋਕਨ ਹੀ ਡੀਕੋਡ ਕਰੋ।

ਇੱਕ JWT ਵਿੱਚ ਬਿੰਦੀਆਂ ਨਾਲ ਵੱਖ ਕੀਤੇ ਤਿੰਨ Base64URL-ਏਨਕੋਡ ਖੰਡ ਹੁੰਦੇ ਹਨ: ਹੈੱਡਰ (ਸਾਈਨਿੰਗ ਐਲਗੋਰਿਦਮ), ਪੇਲੋਡ (ਉਹ ਦਾਅਵੇ ਜੋ ਜਾਰੀਕਰਤਾ ਚਾਹੁੰਦਾ ਹੈ ਕਿ ਤਸਦੀਕਕਰਤਾ ਉਹਨਾਂ ਉੱਤੇ ਭਰੋਸਾ ਕਰੇ) ਅਤੇ ਸਿਗਨੇਚਰ (header.payload ਉੱਤੇ ਇੱਕ MAC ਜਾਂ ਡਿਜੀਟਲ ਸਿਗਨੇਚਰ)। ਡੀਕੋਡ ਕਰਨ ਲਈ ਕਦੇ ਕੁੰਜੀ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ — ਸਿਰਫ਼ ਤਸਦੀਕ ਲਈ ਹੁੰਦੀ ਹੈ।

ਇੱਕ ਛੋਟਾ, URL-ਸੁਰੱਖਿਅਤ ਟੋਕਨ ਜੋ ਤਿੰਨ Base64URL ਹਿੱਸਿਆਂ — ਹੈਡਰ, ਪੇਲੋਡ ਤੇ ਦਸਤਖ਼ਤ — ਤੋਂ ਬਣਿਆ ਹੁੰਦਾ ਹੈ ਜੋ ਯੂਜ਼ਰ ID ਤੇ ਮਿਆਦ-ਸਮਾਪਤੀ ਸਮੇਂ ਵਰਗੇ ਦਸਤਖ਼ਤ ਕੀਤੇ ਦਾਅਵੇ ਚੁੱਕਦਾ ਹੈ। ਇਹ ਸਟੇਟਲੈੱਸ ਲੌਗਇਨ ਸੈਸ਼ਨਾਂ ਤੇ API ਬੇਨਤੀਆਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਇਸਦਾ ਹੈਡਰ ਤੇ ਪੇਲੋਡ ਦੇਖਣ ਲਈ ਉੱਪਰ ਇੱਕ ਪੇਸਟ ਕਰੋ।

ਡੀਕੋਡ ਕੀਤੇ ਹੈਡਰ ਅਤੇ ਪੇਲੋਡ ਹੇਠਾਂ, ਸਾਈਨਿੰਗ ਸੀਕਰੇਟ (HS256 ਲਈ) ਜਾਂ ਜਾਰੀਕਰਤਾ ਦੀ ਪਬਲਿਕ ਕੀ PEM ਜਾਂ JWK ਫਾਰਮੈਟ ਵਿੱਚ (RS256, ES256 ਅਤੇ ਸਮਾਨ ਲਈ) Verify signature ਬਾਕਸ ਵਿੱਚ ਪੇਸਟ ਕਰੋ, ਫਿਰ Verify 'ਤੇ ਕਲਿੱਕ ਕਰੋ। ਦਿਖਾਈ ਦੇਣ ਵਾਲਾ ਬੈਜ ਦੱਸਦਾ ਹੈ ਕਿ ਦਸਤਖ਼ਤ ਵੈਧ ਹਨ, ਅਵੈਧ ਹਨ, ਜਾਂ ਅਜਿਹਾ ਐਲਗੋਰਿਦਮ ਵਰਤਦੇ ਹਨ ਜਿਸਨੂੰ ਬ੍ਰਾਊਜ਼ਰ-ਸਾਈਡ ਵੈਰੀਫਾਇਰ ਸਪੋਰਟ ਨਹੀਂ ਕਰਦਾ — ਇਹ ਸਭ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ, ਬਿਨਾਂ ਟੋਕਨ ਜਾਂ ਕੀ ਕਿਤੇ ਵੀ ਭੇਜੇ।

For HMAC algorithms like HS256 you paste the raw shared secret string. For asymmetric algorithms like RS256, RS384 or ES256 you need the issuer's public key — never the private key — supplied as a PEM block or a JWK; pasting the wrong half of an asymmetric key pair will make verification fail even though the token is valid.

The Verify signature panel supports every mainstream JOSE algorithm: HS256/384/512 (HMAC with a shared secret), RS256/384/512 (RSASSA-PKCS1-v1_5 with an RSA public key), PS256/384/512 (RSA-PSS with an RSA public key) and ES256/384/512 (ECDSA over the matching P-256/P-384/P-521 curve). Tokens signed with "none" or any algorithm outside this list are always reported as unsupported rather than marked valid, which also protects you from the classic alg=none forgery trick.

The most common cause is pasting extra whitespace or a trailing newline into the secret box — the verifier hashes the exact bytes you enter, so a copy-paste artifact breaks the match. Also double-check you're verifying the current token: if the JWT was re-issued after you copied it, or the provider's secret is base64-encoded rather than a raw string, decode it first before pasting it in.

Click Try sample JWT to load a demo HS256 token with sub, name, iat and exp claims so you can see decoding and expiry checking work before pasting your own token. Once a token is in the box, a Clear button appears next to it that wipes the input back to empty in one click.

Each of the Header, Payload and Signature panels has its own Copy button in its top-right corner that copies only that section's JSON (or the raw signature string) to your clipboard. There's also a primary Copy Payload button below the panels for the most common case of grabbing just the claims to paste into a debugger or bug report.