JWT-Decoder

JWT-Decoder

Fügen Sie einen beliebigen JSON Web Token ein, um Header, Payload und Signatur sofort zu dekodieren. Ablauf- und Ausstellungszeitstempel werden als lesbare Daten formatiert.

JWT-Struktur

Ein JWT besteht aus drei Base64URL-kodierten, durch Punkte getrennten Teilen: Header.Payload.Signatur

• Header: gibt Token-Typ (typ) und Signaturalgorithmus (alg) an.
• Payload: enthält Claims — Benutzeridentität, Rollen, Ablauf und benutzerdefinierte Daten.
• Signatur: kryptografischer Hash zur Integritätsprüfung. Dieses Tool überprüft keine Signaturen.

Der Payload ist nur Base64URL-kodiert und damit für jeden lesbar: Speichern Sie dort niemals Geheimnisse.

Häufige JWT-Claims

• sub — Betreff (Benutzer-ID)
• iss — Aussteller
• aud — Zielgruppe
• exp — Ablauf-Zeitstempel (Unix)
• iat — Ausstellungszeitstempel
• nbf — Gültig-ab-Zeitstempel
• jti — Eindeutige JWT-ID

Sicherheitshinweis

JWT-Payloads sind nur Base64-kodiert — nicht verschlüsselt. Niemals sensible Informationen ohne JSON Web Encryption (JWE) einbetten. Signaturen immer serverseitig verifizieren.

Schritt für Schritt

1. Fügen Sie das JWT-Token in das Feld ein.
2. Header und Payload werden als lesbares JSON angezeigt, die Signatur als Rohwert.
3. Mit den Buttons Kopieren übernehmen Sie Header oder Payload.

Häufige Fragen

Prüft das Tool die Signatur?
Nein. Es dekodiert nur den Inhalt. Verwenden Sie es zum Ansehen von Tokens, nicht zur Prüfung der Echtheit.

Darf ich echte Tokens einfügen?
Die Dekodierung findet im Browser statt, das Token wird nicht gesendet. Trotzdem sollten Sie produktive, gültige Tokens mit Vorsicht behandeln, weil sie Zugriff gewähren können.

Was steht im Payload?
Die Claims, also Angaben wie Aussteller, Empfänger, Ablaufzeit und Nutzerdaten, je nachdem, was der Aussteller eingetragen hat.