JWT Decoder — декодирование веб-токена JSON онлайн

Вставьте закодированный JWT (длинную строку eyJ…) в поле ввода. Инструмент разбивает его по двум точкам, декодирует заголовок и полезную нагрузку из Base64URL и показывает JSON для каждого плюс необработанный сегмент подписи — всё это без единого сетевого запроса.

Нет. Декодер только разбирает токен — он не проверяет подпись по секретному или открытому ключу, поскольку для верификации нужен ключевой материал издателя. Для проверки в продакшене используйте серверную библиотеку JWT; этот инструмент предназначен для просмотра и отладки.

Вы получаете заголовок (алгоритм и идентификатор ключа), утверждения полезной нагрузки (sub, iss, aud, iat, exp и любые пользовательские утверждения) и исходную подпись. Стандартные утверждения с метками времени форматируются как читаемые даты, чтобы вы могли с первого взгляда заметить устаревшие токены.

Если в полезной нагрузке есть стандартное поле «exp», инструмент сравнивает его с текущим временем и показывает либо «Действителен до», либо «Срок токена истёк» с точной отметкой времени. Токены без поля exp помечаются как не имеющие срока действия.

Любой, кто прочитает полезную нагрузку JWT, может использовать токен до истечения его срока действия, поэтому рабочие токены следует обрабатывать в приватных инструментах. Этот декодер работает полностью в вашем браузере и никогда не передаёт токен, но более безопасное правило — по возможности декодировать недолговечные токены для разработки.

JWT состоит из трёх сегментов в кодировке Base64URL, разделённых точками: заголовок (алгоритм подписи), полезная нагрузка (утверждения, которым издатель хочет, чтобы доверял проверяющий) и подпись (MAC или цифровая подпись над header.payload). Декодирование никогда не требует ключа — он нужен только для проверки.

Компактный URL-безопасный токен из трёх сегментов Base64URL — заголовка, полезной нагрузки и подписи — который несёт подписанные данные, например идентификатор пользователя и время истечения. Он широко используется для сессий входа без хранения состояния и защиты запросов к API. Вставьте токен выше, чтобы изучить его заголовок и полезную нагрузку.

Под декодированным заголовком и полезной нагрузкой вставьте секрет подписи (для HS256) или открытый ключ издателя в формате PEM или JWK (для RS256, ES256 и подобных) в поле «Проверить подпись», затем нажмите «Проверить». Появившийся значок сообщает, действительна ли подпись, недействительна или использует алгоритм, который браузерный верификатор не поддерживает — всё вычисляется локально, без отправки токена или ключа куда-либо.

Для HMAC-алгоритмов вроде HS256 вы вставляете необработанную строку общего секрета. Для асимметричных алгоритмов вроде RS256, RS384 или ES256 нужен открытый ключ эмитента — ни в коем случае не закрытый — предоставленный как PEM-блок или JWK; вставка не той половины асимметричной пары ключей приведёт к сбою проверки, даже если токен действителен.

Панель проверки подписи поддерживает все основные алгоритмы JOSE: HS256/384/512 (HMAC с общим секретом), RS256/384/512 (RSASSA-PKCS1-v1_5 с открытым ключом RSA), PS256/384/512 (RSA-PSS с открытым ключом RSA) и ES256/384/512 (ECDSA на соответствующей кривой P-256/P-384/P-521). Токены, подписанные с "none" или любым алгоритмом вне этого списка, всегда сообщаются как неподдерживаемые, а не помечаются действительными, что также защищает вас от классического приёма подделки alg=none.

Самая частая причина — вставка лишних пробелов или завершающего перевода строки в поле секрета — верификатор хеширует именно те байты, которые вы вводите, так что артефакт копирования-вставки нарушает совпадение. Также перепроверьте, что вы проверяете актуальный токен: если JWT был перевыпущен после того, как вы его скопировали, или секрет провайдера закодирован в base64, а не является сырой строкой, сначала декодируйте его перед вставкой.

Нажмите «Попробовать образец JWT», чтобы загрузить демонстрационный токен HS256 с полями sub, name, iat и exp и увидеть, как работают декодирование и проверка срока действия, прежде чем вставлять собственный токен. Как только токен окажется в поле, рядом появится кнопка «Очистить», которая одним нажатием возвращает ввод к пустому.

У каждой панели — Header, Payload и Signature — в правом верхнем углу есть своя кнопка «Копировать», которая копирует в буфер обмена только JSON этого раздела (или необработанную строку подписи). Ниже панелей также есть основная кнопка «Копировать Payload» для самого частого случая — когда нужно взять только claims, чтобы вставить в отладчик или отчёт об ошибке.

Скопируйте значение после 'Bearer ' в заголовке Authorization — часть, начинающаяся с eyJ…, и есть сам JWT — и вставьте его в декодер, чтобы мгновенно увидеть заголовок, данные payload и статус срока действия. Если вы скопировали всю строку 'Bearer eyJ…', сначала уберите префикс 'Bearer ', чтобы токен состоял ровно из трёх частей, разделённых точками.

Нет — это декодер и просмотрщик, а не редактор JWT. Изменение полезной нагрузки сделает подпись недействительной, и любой сервер, проверяющий токен, отклонит изменённую версию. Чтобы изменить claims, необходимо выпустить новый токен, подписанный правильным секретом или закрытым ключом. Используйте декодер для чтения и отладки токенов, а не для их изменения.

Нет — JWT Decoder полностью работает в вашем браузере, поэтому то, что вы вставляете, никогда не покидает компьютер, на котором вы находитесь. Это имеет значение, если вы проверяете что-то, содержащее токен, ключ или данные клиента. Закрытия вкладки достаточно, чтобы очистить ее.

Ошибка указывает на первую позицию, которую не удалось проанализировать, которая обычно находится сразу после реальной ошибки, а не на ней — отсутствующая запятая, незакрытая кавычка или скобка или умная кавычка, вставленная из документа вместо прямой. Сначала проверьте линию над сообщаемым положением.

Нет обоим. JWT Decoder бесплатен, ваша загрузка не содержит водяных знаков, и в конце ничего не запрашивается — в потоке нет такого момента, когда вы заканчиваете работу и обнаруживаете, что она стоит денег.

Нет — декодер JWT работает в браузере на компьютере и телефоне. Ничего не нужно устанавливать, не нужно начинать пробную версию и не нужно покупать лицензию, чтобы увидеть, выполняет ли он то, что вам нужно. Попробуйте его на файле, с которым вы действительно застряли, а не на образце.