JWT ਡੀਕੋਡਰ — ਇੱਕ JSON ਵੈੱਬ ਟੋਕਨ ਔਨਲਾਈਨ ਡੀਕੋਡ ਕਰੋ

ਐਨਕੋਡ ਕੀਤੇ JWT (ਲੰਮੀ eyJ… ਸਟ੍ਰਿੰਗ) ਨੂੰ ਇਨਪੁੱਟ ਬਾਕਸ ਵਿੱਚ ਪੇਸਟ ਕਰੋ। ਟੂਲ ਇਸ ਨੂੰ ਦੋ ਬਿੰਦੀਆਂ 'ਤੇ ਵੰਡਦਾ ਹੈ, ਹੈਡਰ ਅਤੇ ਪੇਲੋਡ ਨੂੰ Base64URL-ਡੀਕੋਡ ਕਰਦਾ ਹੈ, ਅਤੇ ਹਰੇਕ ਲਈ JSON ਦੇ ਨਾਲ-ਨਾਲ ਰਾਅ ਦਸਤਖ਼ਤ ਖੰਡ ਦਿਖਾਉਂਦਾ ਹੈ — ਉਹ ਵੀ ਕੋਈ ਨੈੱਟਵਰਕ ਬੇਨਤੀ ਕੀਤੇ ਬਿਨਾਂ।

Only if you give it the key. Decoding the header and payload needs no key, but the Verify signature field accepts an HMAC secret (HS256, HS384, HS512) or an RSA or EC public key as PEM or JWK, and reports whether the signature is valid; the check runs in your browser. Tokens signed with none or an unsupported algorithm are never reported as valid. Use a server-side JWT library for production verification; this tool is for inspection and debugging.

You get the header (algorithm and key id), the payload claims (sub, iss, aud, iat, exp and any custom claims) and the raw signature. The exp claim gets an expiry banner so you can spot stale tokens at a glance; iat and nbf are shown as the raw numbers.

ਜੇ ਪੇਲੋਡ ਵਿੱਚ ਮਿਆਰੀ "exp" ਕਲੇਮ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਟੂਲ ਇਸ ਦੀ ਮੌਜੂਦਾ ਸਮੇਂ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ ਅਤੇ ਸਹੀ ਟਾਈਮਸਟੈਂਪ ਨਾਲ ਜਾਂ ਤਾਂ "ਇਸ ਤੱਕ ਵੈਧ" ਜਾਂ "ਟੋਕਨ ਇਸ ਸਮੇਂ ਮਿਆਦ ਪੁੱਗ ਗਿਆ" ਦਿਖਾਉਂਦਾ ਹੈ। exp ਕਲੇਮ ਤੋਂ ਬਿਨਾਂ ਟੋਕਨਾਂ ਨੂੰ ਕੋਈ ਮਿਆਦ ਨਾ ਹੋਣ ਵਜੋਂ ਦੱਸਿਆ ਜਾਂਦਾ ਹੈ।

ਜੋ ਕੋਈ ਵੀ JWT ਦਾ ਪੇਅਲੋਡ ਪੜ੍ਹ ਲੈਂਦਾ ਹੈ, ਉਹ ਇਸ ਦੀ ਮਿਆਦ ਖ਼ਤਮ ਹੋਣ ਤੱਕ ਇਸ ਨੂੰ ਵਰਤ ਸਕਦਾ ਹੈ, ਇਸੇ ਕਰਕੇ ਪ੍ਰੋਡਕਸ਼ਨ ਟੋਕਨ ਨਿੱਜੀ ਟੂਲਾਂ ਵਿੱਚ ਹੀ ਰੱਖਣੇ ਚਾਹੀਦੇ ਹਨ। ਇਹ ਡੀਕੋਡਰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਚੱਲਦਾ ਹੈ ਅਤੇ ਟੋਕਨ ਨੂੰ ਕਿਤੇ ਨਹੀਂ ਭੇਜਦਾ, ਪਰ ਸੁਰੱਖਿਅਤ ਨਿਯਮ ਇਹੀ ਹੈ ਕਿ ਜਦੋਂ ਵੀ ਸੰਭਵ ਹੋਵੇ ਥੋੜ੍ਹੇ ਸਮੇਂ ਵਾਲੇ ਡਿਵੈਲਪਮੈਂਟ ਟੋਕਨ ਹੀ ਡੀਕੋਡ ਕਰੋ।

ਇੱਕ JWT ਵਿੱਚ ਬਿੰਦੀਆਂ ਨਾਲ ਵੱਖ ਕੀਤੇ ਤਿੰਨ Base64URL-ਏਨਕੋਡ ਖੰਡ ਹੁੰਦੇ ਹਨ: ਹੈੱਡਰ (ਸਾਈਨਿੰਗ ਐਲਗੋਰਿਦਮ), ਪੇਲੋਡ (ਉਹ ਦਾਅਵੇ ਜੋ ਜਾਰੀਕਰਤਾ ਚਾਹੁੰਦਾ ਹੈ ਕਿ ਤਸਦੀਕਕਰਤਾ ਉਹਨਾਂ ਉੱਤੇ ਭਰੋਸਾ ਕਰੇ) ਅਤੇ ਸਿਗਨੇਚਰ (header.payload ਉੱਤੇ ਇੱਕ MAC ਜਾਂ ਡਿਜੀਟਲ ਸਿਗਨੇਚਰ)। ਡੀਕੋਡ ਕਰਨ ਲਈ ਕਦੇ ਕੁੰਜੀ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ — ਸਿਰਫ਼ ਤਸਦੀਕ ਲਈ ਹੁੰਦੀ ਹੈ।

ਇੱਕ ਛੋਟਾ, URL-ਸੁਰੱਖਿਅਤ ਟੋਕਨ ਜੋ ਤਿੰਨ Base64URL ਹਿੱਸਿਆਂ — ਹੈਡਰ, ਪੇਲੋਡ ਤੇ ਦਸਤਖ਼ਤ — ਤੋਂ ਬਣਿਆ ਹੁੰਦਾ ਹੈ ਜੋ ਯੂਜ਼ਰ ID ਤੇ ਮਿਆਦ-ਸਮਾਪਤੀ ਸਮੇਂ ਵਰਗੇ ਦਸਤਖ਼ਤ ਕੀਤੇ ਦਾਅਵੇ ਚੁੱਕਦਾ ਹੈ। ਇਹ ਸਟੇਟਲੈੱਸ ਲੌਗਇਨ ਸੈਸ਼ਨਾਂ ਤੇ API ਬੇਨਤੀਆਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਇਸਦਾ ਹੈਡਰ ਤੇ ਪੇਲੋਡ ਦੇਖਣ ਲਈ ਉੱਪਰ ਇੱਕ ਪੇਸਟ ਕਰੋ।

ਡੀਕੋਡ ਕੀਤੇ ਹੈਡਰ ਅਤੇ ਪੇਲੋਡ ਹੇਠਾਂ, ਸਾਈਨਿੰਗ ਸੀਕਰੇਟ (HS256 ਲਈ) ਜਾਂ ਜਾਰੀਕਰਤਾ ਦੀ ਪਬਲਿਕ ਕੀ PEM ਜਾਂ JWK ਫਾਰਮੈਟ ਵਿੱਚ (RS256, ES256 ਅਤੇ ਸਮਾਨ ਲਈ) Verify signature ਬਾਕਸ ਵਿੱਚ ਪੇਸਟ ਕਰੋ, ਫਿਰ Verify 'ਤੇ ਕਲਿੱਕ ਕਰੋ। ਦਿਖਾਈ ਦੇਣ ਵਾਲਾ ਬੈਜ ਦੱਸਦਾ ਹੈ ਕਿ ਦਸਤਖ਼ਤ ਵੈਧ ਹਨ, ਅਵੈਧ ਹਨ, ਜਾਂ ਅਜਿਹਾ ਐਲਗੋਰਿਦਮ ਵਰਤਦੇ ਹਨ ਜਿਸਨੂੰ ਬ੍ਰਾਊਜ਼ਰ-ਸਾਈਡ ਵੈਰੀਫਾਇਰ ਸਪੋਰਟ ਨਹੀਂ ਕਰਦਾ — ਇਹ ਸਭ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ, ਬਿਨਾਂ ਟੋਕਨ ਜਾਂ ਕੀ ਕਿਤੇ ਵੀ ਭੇਜੇ।

HS256 ਵਰਗੇ HMAC ਐਲਗੋਰਿਥਮਾਂ ਲਈ ਤੁਸੀਂ ਕੱਚੀ ਸਾਂਝੀ ਗੁਪਤ ਸਟ੍ਰਿੰਗ ਪੇਸਟ ਕਰਦੇ ਹੋ। RS256, RS384 ਜਾਂ ES256 ਵਰਗੇ ਅਸਮਿਤ ਐਲਗੋਰਿਥਮਾਂ ਲਈ ਤੁਹਾਨੂੰ ਜਾਰੀਕਰਤਾ ਦੀ ਪਬਲਿਕ ਕੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ — ਕਦੇ ਵੀ ਪ੍ਰਾਈਵੇਟ ਕੀ ਨਹੀਂ — ਜੋ ਇੱਕ PEM ਬਲਾਕ ਜਾਂ JWK ਵਜੋਂ ਦਿੱਤੀ ਜਾਵੇ; ਅਸਮਿਤ ਕੀ ਜੋੜੇ ਦੀ ਗਲਤ ਅੱਧੀ ਕੀ ਪੇਸਟ ਕਰਨ ਨਾਲ ਟੋਕਨ ਵੈਧ ਹੋਣ ਦੇ ਬਾਵਜੂਦ ਵੀ ਤਸਦੀਕ ਅਸਫਲ ਹੋ ਜਾਵੇਗੀ।

Verify signature ਪੈਨਲ ਹਰ ਮੁੱਖ JOSE ਐਲਗੋਰਿਦਮ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ: HS256/384/512 (ਸਾਂਝੇ ਸੀਕ੍ਰੇਟ ਨਾਲ HMAC), RS256/384/512 (RSA ਪਬਲਿਕ ਕੁੰਜੀ ਨਾਲ RSASSA-PKCS1-v1_5), PS256/384/512 (RSA ਪਬਲਿਕ ਕੁੰਜੀ ਨਾਲ RSA-PSS) ਅਤੇ ES256/384/512 (ਮੇਲ ਖਾਂਦੇ P-256/P-384/P-521 ਕਰਵ ਉੱਤੇ ECDSA)। "none" ਜਾਂ ਇਸ ਸੂਚੀ ਤੋਂ ਬਾਹਰ ਕਿਸੇ ਵੀ ਐਲਗੋਰਿਦਮ ਨਾਲ ਦਸਤਖ਼ਤ ਕੀਤੇ ਟੋਕਨ ਹਮੇਸ਼ਾ ਵੈਧ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕਰਨ ਦੀ ਬਜਾਏ ਅਸਮਰਥਿਤ ਵਜੋਂ ਰਿਪੋਰਟ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜੋ ਤੁਹਾਨੂੰ ਕਲਾਸਿਕ alg=none ਜਾਲਸਾਜ਼ੀ ਦੇ ਹੱਥਕੰਡੇ ਤੋਂ ਵੀ ਬਚਾਉਂਦਾ ਹੈ।

ਸਭ ਤੋਂ ਆਮ ਕਾਰਨ ਸੀਕ੍ਰੇਟ ਬਾਕਸ ਵਿੱਚ ਵਾਧੂ ਵ੍ਹਾਈਟਸਪੇਸ ਜਾਂ ਟ੍ਰੇਲਿੰਗ ਨਿਊਲਾਈਨ ਪੇਸਟ ਕਰਨਾ ਹੈ — ਵੈਰੀਫਾਇਰ ਤੁਹਾਡੇ ਵੱਲੋਂ ਦਾਖਲ ਕੀਤੇ ਗਏ ਸਟੀਕ ਬਾਈਟਾਂ ਨੂੰ ਹੈਸ਼ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਕਾਪੀ-ਪੇਸਟ ਗੜਬੜੀ ਮੇਲ ਨੂੰ ਤੋੜ ਦਿੰਦੀ ਹੈ। ਇਹ ਵੀ ਦੋ ਵਾਰ ਜਾਂਚੋ ਕਿ ਤੁਸੀਂ ਮੌਜੂਦਾ ਟੋਕਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਰਹੇ ਹੋ: ਜੇ ਤੁਹਾਡੇ ਵੱਲੋਂ ਇਸਨੂੰ ਕਾਪੀ ਕਰਨ ਤੋਂ ਬਾਅਦ JWT ਦੁਬਾਰਾ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਾਂ ਪ੍ਰਦਾਤਾ ਦਾ ਸੀਕ੍ਰੇਟ ਕੱਚੀ ਸਟ੍ਰਿੰਗ ਦੀ ਬਜਾਏ base64-ਏਨਕੋਡ ਕੀਤਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਪੇਸਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪਹਿਲਾਂ ਡੀਕੋਡ ਕਰੋ।

sub, name, iat ਅਤੇ exp ਕਲੇਮਾਂ ਵਾਲਾ ਇੱਕ ਡੈਮੋ HS256 ਟੋਕਨ ਲੋਡ ਕਰਨ ਲਈ Try sample JWT 'ਤੇ ਕਲਿੱਕ ਕਰੋ ਤਾਂ ਜੋ ਤੁਸੀਂ ਆਪਣਾ ਟੋਕਨ ਪੇਸਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਡੀਕੋਡਿੰਗ ਅਤੇ ਮਿਆਦ ਪੁੱਗਣ ਦੀ ਜਾਂਚ ਨੂੰ ਕੰਮ ਕਰਦੇ ਦੇਖ ਸਕੋ। ਜਦੋਂ ਬਾਕਸ ਵਿੱਚ ਕੋਈ ਟੋਕਨ ਹੋ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਇਸਦੇ ਕੋਲ ਇੱਕ Clear ਬਟਨ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ ਜੋ ਇੱਕ ਕਲਿੱਕ ਵਿੱਚ ਇਨਪੁੱਟ ਨੂੰ ਵਾਪਸ ਖਾਲੀ ਕਰ ਦਿੰਦਾ ਹੈ।

Header, Payload ਅਤੇ Signature ਪੈਨਲਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਦੇ ਉੱਪਰ-ਸੱਜੇ ਕੋਨੇ ਵਿੱਚ ਆਪਣਾ Copy ਬਟਨ ਹੁੰਦਾ ਹੈ ਜੋ ਸਿਰਫ਼ ਉਸ ਭਾਗ ਦਾ JSON (ਜਾਂ ਕੱਚੀ ਸਿਗਨੇਚਰ ਸਟ੍ਰਿੰਗ) ਤੁਹਾਡੇ ਕਲਿੱਪਬੋਰਡ ਉੱਤੇ ਕਾਪੀ ਕਰਦਾ ਹੈ। ਪੈਨਲਾਂ ਦੇ ਹੇਠਾਂ ਸਿਰਫ਼ ਕਲੇਮ ਲੈ ਕੇ ਡੀਬੱਗਰ ਜਾਂ ਬੱਗ ਰਿਪੋਰਟ ਵਿੱਚ ਪੇਸਟ ਕਰਨ ਦੇ ਸਭ ਤੋਂ ਆਮ ਮਾਮਲੇ ਲਈ ਇੱਕ ਪ੍ਰਾਇਮਰੀ Copy Payload ਬਟਨ ਵੀ ਹੈ।

Authorization ਹੈਡਰ ਵਿੱਚ 'Bearer ' ਤੋਂ ਬਾਅਦ ਦੀ ਵੈਲਿਊ ਕਾਪੀ ਕਰੋ — eyJ… ਵਾਲਾ ਹਿੱਸਾ ਹੀ JWT ਹੈ — ਅਤੇ ਇਸਨੂੰ ਡੀਕੋਡਰ ਵਿੱਚ ਪੇਸਟ ਕਰਕੇ ਹੈਡਰ, ਪੇਲੋਡ ਕਲੇਮ ਅਤੇ ਮਿਆਦ ਪੁੱਗਣ ਦੀ ਸਥਿਤੀ ਤੁਰੰਤ ਵੇਖੋ। ਜੇ ਤੁਸੀਂ ਪੂਰੀ 'Bearer eyJ…' ਸਟ੍ਰਿੰਗ ਲੈਂਦੇ ਹੋ, ਤਾਂ ਪਹਿਲਾਂ 'Bearer ' ਪ੍ਰੀਫਿਕਸ ਹਟਾ ਦਿਓ ਤਾਂ ਜੋ ਟੋਕਨ ਵਿੱਚ ਬਿਲਕੁਲ ਤਿੰਨ ਡੌਟ-ਵੱਖ ਹਿੱਸੇ ਹੋਣ।

ਨਹੀਂ — ਇਹ ਇੱਕ ਡੀਕੋਡਰ ਅਤੇ ਵਿਊਅਰ ਹੈ, JWT ਐਡੀਟਰ ਨਹੀਂ। ਪੇਲੋਡ ਬਦਲਣ ਨਾਲ ਸਿਗਨੇਚਰ ਅਵੈਧ ਹੋ ਜਾਵੇਗਾ, ਇਸ ਲਈ ਟੋਕਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਵਾਲਾ ਕੋਈ ਵੀ ਸਰਵਰ ਛੇੜਛਾੜ ਕੀਤੇ ਵਰਜ਼ਨ ਨੂੰ ਰੱਦ ਕਰ ਦੇਵੇਗਾ। ਕਲੇਮ ਬਦਲਣ ਲਈ ਤੁਹਾਨੂੰ ਸਹੀ ਸੀਕ੍ਰੇਟ ਜਾਂ ਪ੍ਰਾਈਵੇਟ ਕੀ ਨਾਲ ਸਾਈਨ ਕੀਤਾ ਨਵਾਂ ਟੋਕਨ ਜਾਰੀ ਕਰਨਾ ਪਵੇਗਾ। ਟੋਕਨ ਪੜ੍ਹਨ ਅਤੇ ਡੀਬੱਗ ਕਰਨ ਲਈ ਡੀਕੋਡਰ ਵਰਤੋ, ਉਹਨਾਂ ਨੂੰ ਬਦਲਣ ਲਈ ਨਹੀਂ।

ਨਹੀਂ — JWT ਡੀਕੋਡਰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਚੱਲਦਾ ਹੈ, ਇਸਲਈ ਜੋ ਤੁਸੀਂ ਪੇਸਟ ਕਰਦੇ ਹੋ ਉਸ ਮਸ਼ੀਨ ਨੂੰ ਕਦੇ ਨਹੀਂ ਛੱਡਦਾ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਹੋ। ਇਹ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ ਜੇਕਰ ਤੁਸੀਂ ਕਿਸੇ ਅਜਿਹੀ ਚੀਜ਼ ਦੀ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ ਜਿਸ ਵਿੱਚ ਇੱਕ ਟੋਕਨ, ਇੱਕ ਕੁੰਜੀ ਜਾਂ ਗਾਹਕ ਡੇਟਾ ਹੈ। ਟੈਬ ਨੂੰ ਬੰਦ ਕਰਨਾ ਇਸਨੂੰ ਸਾਫ਼ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਹੈ।

ਗਲਤੀ ਪਹਿਲੀ ਸਥਿਤੀ 'ਤੇ ਪੁਆਇੰਟ ਕਰਦੀ ਹੈ ਜਿਸ ਨੂੰ ਪਾਰਸ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਸੀ, ਜੋ ਕਿ ਆਮ ਤੌਰ 'ਤੇ ਅਸਲ ਗਲਤੀ ਦੀ ਬਜਾਏ ਇਸਦੇ ਬਾਅਦ ਹੁੰਦਾ ਹੈ — ਇੱਕ ਗੁੰਮ ਕੌਮਾ, ਇੱਕ ਬੰਦ ਨਾ ਕੀਤਾ ਹਵਾਲਾ ਜਾਂ ਬਰੈਕਟ, ਜਾਂ ਸਿੱਧੇ ਇੱਕ ਦੀ ਬਜਾਏ ਇੱਕ ਦਸਤਾਵੇਜ਼ ਤੋਂ ਇੱਕ ਸਮਾਰਟ ਕੋਟ ਚਿਪਕਾਇਆ ਗਿਆ ਹੈ। ਪਹਿਲਾਂ ਰਿਪੋਰਟ ਕੀਤੀ ਸਥਿਤੀ ਦੇ ਉੱਪਰਲੀ ਲਾਈਨ ਦੀ ਜਾਂਚ ਕਰੋ।

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

ਨਹੀਂ — JWT Decoder ਡੈਸਕਟਾਪ ਅਤੇ ਫ਼ੋਨ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਚੱਲਦਾ ਹੈ। ਕੁਝ ਵੀ ਇੰਸਟਾਲ ਕਰਨ, ਟ੍ਰਾਇਲ ਸ਼ੁਰੂ ਕਰਨ ਜਾਂ ਲਾਇਸੈਂਸ ਖਰੀਦਣ ਦੀ ਲੋੜ ਨਹੀਂ। ਨਮੂਨੇ ਦੀ ਥਾਂ ਉਸ ਫਾਈਲ ਉੱਤੇ ਅਜ਼ਮਾਓ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਫਸੇ ਹੋ।