Header und Payload werden aus Base64URL dekodiert und als JSON gelesen. Ein Signaturschlüssel wird nicht verwendet; Claims gelten nicht als vertrauenswürdig.
24
Daten & Entwicklung
JWT-Decoder
Dekodiert Base64URL-Header und -Payload im Browser. Das Werkzeug verifiziert weder Signatur noch Aussteller, Gültigkeit oder Identität und darf nicht zur Authentifizierung verwendet werden.
✓ Kostenlos✓ Kein Konto✓ Im Browser
KURZANTWORT
Was macht dieses Werkzeug?
Lesen Sie Header und Payload eines JWT lokal als formatiertes JSON.
ErgebnisBereit
Das Ergebnis erscheint hier.
ANWENDUNGS- UND ENTSCHEIDUNGSHILFE
JWT-Decoder: Methode und Anwendung
Dekodiert Base64URL-Header und -Payload im Browser. Das Werkzeug verifiziert weder Signatur noch Aussteller, Gültigkeit oder Identität und darf nicht zur Authentifizierung verwendet werden.
Geben Sie ein JWT im Format header.payload.signature ein. Verwenden Sie zum Testen ein synthetisches Token; echte Sitzungstoken können Zugriff gewähren. Das Format zuerst mit einem kleinen Beispiel ohne Personendaten prüfen.
Header- und Payload-Felder werden lesbar. alg nennt einen Algorithmus; sub, iss, aud und exp sind Angaben des Ausstellers, keine Prüfergebnisse.
Praktische Schritte
- Geben Sie ein JWT im Format header.payload.signature ein. Verwenden Sie zum Testen ein synthetisches Token; echte Sitzungstoken können Zugriff gewähren. Prüfen Sie das Format zuerst mit einem synthetischen Beispiel statt mit sensiblen Echtdaten.
- Lokale Verarbeitung starten. Header und Payload werden aus Base64URL dekodiert und als JSON gelesen. Ein Signaturschlüssel wird nicht verwendet; Claims gelten nicht als vertrauenswürdig.
- Abnahmekriterium: Vergleichen Sie Benutzerkennung und Ablaufzeit eines synthetischen Payloads mit bekannten Werten. exp verwendet Sekunden; eine Interpretation als Millisekunden liefert das falsche Datum. Dekodieren prüft weder Signatur noch Aussteller, Zielgruppe oder Berechtigung. Authentifizierung erfordert serverseitige Prüfung mit richtigem Schlüssel und erlaubtem Algorithmus; echte Token nicht teilen.
Vergleichen Sie Benutzerkennung und Ablaufzeit eines synthetischen Payloads mit bekannten Werten. exp verwendet Sekunden; eine Interpretation als Millisekunden liefert das falsche Datum.
Dekodieren prüft weder Signatur noch Aussteller, Zielgruppe oder Berechtigung. Authentifizierung erfordert serverseitige Prüfung mit richtigem Schlüssel und erlaubtem Algorithmus; echte Token nicht teilen.
Geeignete Anwendungen
- JWT-Decoder einsetzen, wenn das Ziel lautet: Lesen Sie Header und Payload eines JWT lokal als formatiertes JSON
- Vor Codeprüfung, Sicherheits-Triage oder kontrollierte Behebung: Header- und Payload-Felder werden lesbar. alg nennt einen Algorithmus; sub, iss, aud und exp sind Angaben des Ausstellers, keine Prüfergebnisse.
- Vergleichen Sie Benutzerkennung und Ablaufzeit eines synthetischen Payloads mit bekannten Werten. exp verwendet Sekunden; eine Interpretation als Millisekunden liefert das falsche Datum.
Nachvollziehbares Praxisbeispiel
Bei einer Sitzungsanalyse die Claims `iss`, `aud`, `exp` und Rolle lesen, ohne sie als Identitätsnachweis zu behandeln.
Nur ein synthetisches JWT verwenden. Der Payload enthält ein abgelaufenes `exp`, die erwartete Test-`aud` und eine nicht personenbezogene Beispielrolle.
Header und Payload erscheinen als getrenntes gültiges JSON; die Unix-Zeit lässt sich lesbar umwandeln. Die Seite weist klar auf die fehlende Signaturprüfung hin.
Dekodierte Claims nicht als vertrauenswürdig behandeln. Keine Zugriffs- oder Identitätsentscheidung ohne serverseitige Prüfung von Signatur, Algorithmus, Schlüssel, Issuer und Audience.
ARBEITSABLAUF VERTIEFEN
Ratgeber zu diesem Werkzeug
JWT-Zeitachsen und Authentifizierungsgrenzen
iat, nbf und exp lesen, ohne Dekodieren mit Verifizieren zu verwechseln.
Ratgeber lesen →Sichere Browser-Übergabe zwischen JSON, CSV und Base64
Wiederverwendbare Abläufe mit weniger Kopieren und klaren Typ-, Kodierungs- und Fehlergrenzen.
Ratgeber lesen →ÜBER DIESES WERKZEUG
Häufig gestellte Fragen
Welche Eingabe akzeptiert JWT-Decoder?+
Geben Sie ein JWT im Format header.payload.signature ein. Verwenden Sie zum Testen ein synthetisches Token; echte Sitzungstoken können Zugriff gewähren. Nur ein synthetisches JWT verwenden. Der Payload enthält ein abgelaufenes `exp`, die erwartete Test-`aud` und eine nicht personenbezogene Beispielrolle.
Was liefert JWT-Decoder?+
Header- und Payload-Felder werden lesbar. alg nennt einen Algorithmus; sub, iss, aud und exp sind Angaben des Ausstellers, keine Prüfergebnisse. Header und Payload erscheinen als getrenntes gültiges JSON; die Unix-Zeit lässt sich lesbar umwandeln. Die Seite weist klar auf die fehlende Signaturprüfung hin.
Wie prüfe ich die Ausgabe von JWT-Decoder?+
Vergleichen Sie Benutzerkennung und Ablaufzeit eines synthetischen Payloads mit bekannten Werten. exp verwendet Sekunden; eine Interpretation als Millisekunden liefert das falsche Datum. Dekodierte Claims nicht als vertrauenswürdig behandeln. Keine Zugriffs- oder Identitätsentscheidung ohne serverseitige Prüfung von Signatur, Algorithmus, Schlüssel, Issuer und Audience.
Sendet oder speichert JWT-Decoder Eingaben auf einem Server?+
Werkzeugeingaben werden im aktiven Tab verarbeitet. Speichern in der Workstation oder Übergabe an ein anderes Werkzeug erfolgt nach eigener Auswahl. Browser-Erweiterungen und gemeinsam genutzte Geräte gesondert prüfen; die Datenschutzseite erklärt Werbung und Netzwerkverbindungen.