See inside any JWT — header, payload and expiry

Вставьте закодированный JWT (длинную строку eyJ…) в поле ввода. Инструмент разбивает его по двум точкам, декодирует заголовок и полезную нагрузку из Base64URL и показывает JSON для каждого плюс необработанный сегмент подписи — всё это без единого сетевого запроса.

Нет. Декодер только разбирает токен — он не проверяет подпись по секретному или открытому ключу, поскольку для верификации нужен ключевой материал издателя. Для проверки в продакшене используйте серверную библиотеку JWT; этот инструмент предназначен для просмотра и отладки.

Вы получаете заголовок (алгоритм и идентификатор ключа), утверждения полезной нагрузки (sub, iss, aud, iat, exp и любые пользовательские утверждения) и исходную подпись. Стандартные утверждения с метками времени форматируются как читаемые даты, чтобы вы могли с первого взгляда заметить устаревшие токены.

Если в полезной нагрузке есть стандартное поле «exp», инструмент сравнивает его с текущим временем и показывает либо «Действителен до», либо «Срок токена истёк» с точной отметкой времени. Токены без поля exp помечаются как не имеющие срока действия.

Любой, кто прочитает полезную нагрузку JWT, может использовать токен до истечения его срока действия, поэтому рабочие токены следует обрабатывать в приватных инструментах. Этот декодер работает полностью в вашем браузере и никогда не передаёт токен, но более безопасное правило — по возможности декодировать недолговечные токены для разработки.

JWT состоит из трёх сегментов в кодировке Base64URL, разделённых точками: заголовок (алгоритм подписи), полезная нагрузка (утверждения, которым издатель хочет, чтобы доверял проверяющий) и подпись (MAC или цифровая подпись над header.payload). Декодирование никогда не требует ключа — он нужен только для проверки.

Компактный URL-безопасный токен из трёх сегментов Base64URL — заголовка, полезной нагрузки и подписи — который несёт подписанные данные, например идентификатор пользователя и время истечения. Он широко используется для сессий входа без хранения состояния и защиты запросов к API. Вставьте токен выше, чтобы изучить его заголовок и полезную нагрузку.

Под декодированным заголовком и полезной нагрузкой вставьте секрет подписи (для HS256) или открытый ключ издателя в формате PEM или JWK (для RS256, ES256 и подобных) в поле «Проверить подпись», затем нажмите «Проверить». Появившийся значок сообщает, действительна ли подпись, недействительна или использует алгоритм, который браузерный верификатор не поддерживает — всё вычисляется локально, без отправки токена или ключа куда-либо.

Для HMAC-алгоритмов вроде HS256 вы вставляете необработанную строку общего секрета. Для асимметричных алгоритмов вроде RS256, RS384 или ES256 нужен открытый ключ эмитента — ни в коем случае не закрытый — предоставленный как PEM-блок или JWK; вставка не той половины асимметричной пары ключей приведёт к сбою проверки, даже если токен действителен.

Панель проверки подписи поддерживает все основные алгоритмы JOSE: HS256/384/512 (HMAC с общим секретом), RS256/384/512 (RSASSA-PKCS1-v1_5 с открытым ключом RSA), PS256/384/512 (RSA-PSS с открытым ключом RSA) и ES256/384/512 (ECDSA на соответствующей кривой P-256/P-384/P-521). Токены, подписанные с "none" или любым алгоритмом вне этого списка, всегда сообщаются как неподдерживаемые, а не помечаются действительными, что также защищает вас от классического приёма подделки alg=none.

Самая частая причина — вставка лишних пробелов или завершающего перевода строки в поле секрета — верификатор хеширует именно те байты, которые вы вводите, так что артефакт копирования-вставки нарушает совпадение. Также перепроверьте, что вы проверяете актуальный токен: если JWT был перевыпущен после того, как вы его скопировали, или секрет провайдера закодирован в base64, а не является сырой строкой, сначала декодируйте его перед вставкой.

Нажмите «Попробовать образец JWT», чтобы загрузить демонстрационный токен HS256 с полями sub, name, iat и exp и увидеть, как работают декодирование и проверка срока действия, прежде чем вставлять собственный токен. Как только токен окажется в поле, рядом появится кнопка «Очистить», которая одним нажатием возвращает ввод к пустому.

У каждой панели — Header, Payload и Signature — в правом верхнем углу есть своя кнопка «Копировать», которая копирует в буфер обмена только JSON этого раздела (или необработанную строку подписи). Ниже панелей также есть основная кнопка «Копировать Payload» для самого частого случая — когда нужно взять только claims, чтобы вставить в отладчик или отчёт об ошибке.

Скопируйте значение после 'Bearer ' в заголовке Authorization — часть, начинающаяся с eyJ…, и есть сам JWT — и вставьте его в декодер, чтобы мгновенно увидеть заголовок, данные payload и статус срока действия. Если вы скопировали всю строку 'Bearer eyJ…', сначала уберите префикс 'Bearer ', чтобы токен состоял ровно из трёх частей, разделённых точками.

Нет — это декодер и просмотрщик, а не редактор JWT. Изменение полезной нагрузки сделает подпись недействительной, и любой сервер, проверяющий токен, отклонит изменённую версию. Чтобы изменить claims, необходимо выпустить новый токен, подписанный правильным секретом или закрытым ключом. Используйте декодер для чтения и отладки токенов, а не для их изменения.