JWT-Decoder

Ein JWT (JSON Web Token) ist ein kompaktes, URL-sicheres Token zur Authentifizierung und zum Informationsaustausch zwischen Parteien. Durch das Decodieren eines JWT kannst du den Header (Tokentyp und Algorithmus), die Payload (Claims und Benutzerdaten) und die Signatur anzeigen. Entwickler decodieren JWTs, um Authentifizierungsprobleme zu debuggen, Benutzerberechtigungen zu prüfen oder während der Entwicklung den Tokeninhalt zu verstehen.

Füge einfach dein JWT-Token in das Eingabefeld ein und klicke auf 'Decode JWT'. Das Tool analysiert das Token sofort und zeigt Header und Payload in lesbarem JSON-Format an. Du siehst alle Claims, Ablaufzeiten, Ausstellerinformationen und benutzerdefinierte Daten, die im Token gespeichert sind.

Nein, dieser Decoder zeigt nur Header und Payload des JWT an – er verifiziert die Signatur nicht. Für die Signaturverifizierung brauchst du den geheimen oder öffentlichen Schlüssel, den du niemals weitergeben oder in Online-Tools eingeben solltest. Verifiziere JWTs aus Sicherheitsgründen immer serverseitig mit geeigneten Bibliotheken und deinen geheimen Schlüsseln.

Ein decodiertes JWT zeigt typischerweise den Tokentyp und Signaturalgorithmus im Header sowie Claims wie 'iss' (Aussteller), 'sub' (Betreff), 'aud' (Zielgruppe), 'exp' (Ablaufzeit), 'iat' (Ausstellungszeitpunkt) und benutzerdefinierte Claims in der Payload. Diese Informationen helfen dir zu verstehen, wer das Token ausgestellt hat, wann es abläuft und welche Berechtigungen oder Daten es enthält.

JWTs clientseitig zu decodieren ist im Allgemeinen sicher, da JWTs so konzipiert sind, dass sie für alle lesbar sind – sie sind Base64-codiert, nicht verschlüsselt. Decodiere jedoch niemals JWTs mit hochsensiblen Daten in öffentlichen Online-Tools. Dieses Tool verarbeitet Tokens vollständig in deinem Browser, ohne Daten an Server zu senden. Verwende es dennoch nicht für Produktions-Tokens mit sensiblen Informationen.

JWTs folgen einer Standardstruktur mit drei base64-kodierten Teilen, die durch Punkte getrennt sind: header.payload.signature. Der Header beschreibt den Token-Typ und den Algorithmus, die Payload enthält die Ansprüche und Daten, und die Signatur stellt sicher, dass das Token nicht manipuliert wurde. Diese Struktur macht JWTs kompakt und URL-sicher, während die Sicherheit erhalten bleibt.

Decodierte JWTs enthalten einen 'exp'-Claim (Ablaufzeit), der ein Unix-Zeitstempel ist. Vergleiche diesen Zeitstempel mit der aktuellen Uhrzeit: Ist die aktuelle Uhrzeit größer als der exp-Wert, ist das Token abgelaufen. Der Decoder zeigt diesen Zeitstempel in einem lesbaren Format an, damit du die Gültigkeit des Tokens prüfen kannst.

iat" (issued at) gibt an, wann der Token erstellt wurde, "exp" (expiration time) gibt an, wann er abläuft, und "nbf" (not before) gibt an, wann der Token gültig wird. Diese Zeitstempel helfen bei der Kontrolle des Token-Lebenszyklus und verhindern die Wiederverwendung von Token über verschiedene Zeiträume hinweg.

Ja! OAuth 2.0-Zugangs-Tokens und OpenID Connect-ID-Tokens verwenden häufig das JWT-Format. Die Dekodierung gibt Aufschluss über Bereiche, Berechtigungen, Benutzerkennungen und Authentifizierungsdetails. Dies ist von unschätzbarem Wert für das Debuggen von Authentifizierungsabläufen, die Überprüfung von gewährten Berechtigungen und die Fehlerbehebung bei Integrationsproblemen.

Ein JWT mit 'algorithm: none' (auch unsicheres JWT genannt) hat keine Signaturverifizierung. Das ist in der Produktion gefährlich und deutet oft auf eine Sicherheitslücke hin. Legitime JWTs sollten Algorithmen wie RS256, HS256 oder ES256 verwenden. Wenn du 'none' siehst, solltest du sofort nachforschen, da dies auf ein Sicherheitsproblem hindeuten kann.