JWT-Decoder & -Verifier

JWTs dekodieren, erklären und verifizieren. Ablauf auf einen Blick, Signaturen lokal geprüft.

Läuft lokal · keine Uploads
Encoded token
Header 
Payload


Claims
Signature 



Secrets and keys are only used in this tab and are never saved or sent anywhere.
Was das Tool macht
Fügen Sie ein Token ein – es wird schon während der Eingabe dekodiert:
  • Farbig markiertes Token: Header, Payload und Signatur sind hervorgehoben, sodass ein fehlerhaftes Kopieren sofort auffällt.
  • Formatiertes JSON für Header und Payload, jeweils zum Kopieren und Herunterladen.
  • Claims-Tabelle, die jeden Standard-Claim erklärt (iss, sub, aud, exp, nbf, iat, jti sowie gängige OpenID-Connect- und Microsoft-Claims) und Zeitstempel in UTC-Datumsangaben mit relativen Zeiten umwandelt.
  • Statuszeile: gültig, läuft in 12 Min. ab, vor 3 Tagen abgelaufen oder noch nicht gültig. Datumsangaben in Millisekunden statt Sekunden werden markiert.
  • Klare Fehlermeldungen bei fehlerhaften Tokens: falsche Anzahl von Teilen, verschlüsselte JWEs, ungültige base64url-Zeichen (mit Position) und defektes JSON.
Signaturprüfung
Die Prüfung verwendet die WebCrypto-API Ihres Browsers:
  • HS256 / HS384 / HS512 mit einem Text- oder Base64-Secret. Secrets, die kürzer als der Hash sind, werden markiert (RFC 7518).
  • RS256-512 und PS256-512 mit einem RSA-Schlüssel, ES256 / ES384 / ES512 mit einem EC-Schlüssel und EdDSA (Ed25519), sofern der Browser es unterstützt.
  • Schlüssel können ein PEM-PUBLIC KEY, ein RSA PUBLIC KEY, ein X.509-CERTIFICATE, ein JWK oder ein ganzes JWK Set sein (der Schlüssel wird über kid ausgewählt).
  • Ein Schlüssel, der nicht zum Algorithmus passt (etwa ein RSA-Schlüssel für ES256), wird genau so gemeldet und nicht als vager Fehler.
Token erstellen
Der Tab Token erstellen signiert eine JSON-Payload mit HS256, HS384 oder HS512. Er bietet Schaltflächen für iat und exp und generiert ein zufälliges Secret in der passenden Länge.
Datenschutz
Tokens werden lokal dekodiert. Secrets und Schlüssel werden nie gespeichert oder irgendwohin gesendet. Nur das Token und der Payload-Entwurf bleiben im lokalen Speicher. Entfernen Sie Produktions-Tokens daher mit Leeren, wenn Sie fertig sind.