JWT-Decoder — JSON Web Token online dekodieren
JWT-Header und -Payload dekodieren und Ablauf prüfen (ohne Signaturprüfung)
Verarbeitung im Browser · kein Hochladen
Dieses Tool dekodiert den Token nur. Die Signatur wird NICHT geprüft – ein lesbarer Token ist also nicht automatisch gültig oder vertrauenswürdig. Nichts verlässt Ihren Browser.
Was ist das?
Ein JWT (JSON Web Token) transportiert Claims, etwa wer ein Benutzer ist. Er besteht aus drei durch Punkte getrennten Teilen: Header, Payload und Signatur. Die ersten beiden sind base64url-kodiertes JSON, also für jeden lesbar. Dieses Tool zerlegt den Token und zeigt den Inhalt übersichtlich an, prüft aber nicht die Signatur.
So funktioniert es
- Fügen Sie den Token in das Eingabefeld ein. Ein vorangestelltes
Bearerund Zeilenumbrüche werden ignoriert. - Header und Payload erscheinen als eingerücktes JSON, jeweils mit eigener Kopieren-Schaltfläche.
- Enthält der Payload exp, iat oder nbf, werden sie als lesbare Daten mit verbleibender oder vergangener Zeit angezeigt („in 3 Stunden“, „vor 2 Tagen“), dazu der Ablaufstatus.
- Ist der Token fehlerhaft, nennt die Fehlermeldung den betroffenen Teil. Ein verschlüsselter Token aus fünf Teilen (JWE) wird als ohne Schlüssel unlesbar gemeldet.
Technische Details
- Die Struktur folgt RFC 7519 (JWT) und RFC 7515 (JWS): genau drei durch Punkte getrennte Teile.
- Jeder Teil wird nach RFC 4648 aus base64url dekodiert (
-und_, Padding optional) und als UTF-8 gelesen. - Header und Payload müssen JSON-Objekte sein; ein Array oder String wird als Fehler gemeldet.
- exp, iat und nbf werden nur als Sekunden interpretiert, wenn es Zahlen sind, und dann im Format Ihrer Ländereinstellung sowie in ISO 8601 (UTC) angezeigt.
- Der Ablaufstatus vergleicht nur die aktuelle Zeit mit exp und nbf. Die Signatur wird nicht geprüft, daher werden Tokens mit alg none oder falscher Signatur genauso dekodiert.
Beispiele
| Teil | Inhalt |
|---|---|
| Token-Anfang | eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 |
| header | {"alg": "HS256", "typ": "JWT"} |
| payload | {"sub": "1234567890", "name": "John Doe", "iat": 1516239022} |
| iat | 2018-01-18T01:30:22Z |
Dieser Token ist das übliche Übungsbeispiel aus JWT-Einführungen. Ein Token, dessen Payload {"name": "Jürgen Müller"} enthält, wird ebenfalls ohne Zeichensalat dekodiert.
Häufige Fragen
Prüft dieses Tool die JWT-Signatur?
Nein, es dekodiert nur. Dass sich ein Token lesen lässt, heißt nicht, dass er echt oder gültig ist. Ob Sie ihm vertrauen, entscheidet die Signaturprüfung mit dem Geheimnis oder öffentlichen Schlüssel auf Ihrem Server.
Ist es sicher, hier einen Token einzufügen?
Die Dekodierung findet nur in Ihrem Browser statt, der Token wird nicht übertragen. Fügen Sie produktive Tokens trotzdem nicht in geteilte Bildschirme oder Dokumente ein.
Werden Umlaute im Payload korrekt angezeigt?
Ja. Ein JWT ist base64url-kodiertes UTF-8-JSON, und dieses Tool dekodiert es als UTF-8. Umlaute, koreanische oder chinesische Namen und Emojis erscheinen daher unverfälscht.
Was für eine Zeitangabe ist der exp-Wert?
Ein NumericDate, also Sekunden seit dem 1. Januar 1970 UTC. Das Tool zeigt ihn in Sprache und Zeitzone Ihres Browsers sowie zusätzlich im UTC-Format nach ISO 8601.
