JWT-dekoder

Dekod og inspicer JSON Web Tokens øjeblikkeligt

JWT-dekoder er et gratis onlineværktøj til at dekode, parse og inspicere JSON Web Tokens (JWT). Vis øjeblikkeligt token header, payload, signatur og claims. Fejlfind autentifikations- og autoriseringstokens brugt i OAuth 2.0, OpenID Connect og moderne webapplikationer. Fungerer udelukkende i din browser med fuldstændig privatliv - ingen tokens sendes nogensinde til vores servere.

Sådan bruges JWT-dekoder

At dekode JWT-tokens er simpelt og øjeblikkeligt:

Trin 1: Indsæt din JWT-token
Indsæt din komplette JWT-token i inputfeltet. JWT-tokens starter typisk med 'eyJ' og indeholder tre dele adskilt af punktummer (header.payload.signatur).
Trin 2: Automatisk dekodning
Token dekodes og parses automatisk i realtid. Intet behov for at klikke på nogen knap - resultater vises øjeblikkeligt når du indsætter.
Trin 3: Inspicer token-dele
Vis den dekodede header (algoritme, type), payload (claims, udløb, udstedt-ved), og signaturen. Hver del vises i formateret JSON for nem læsning og fejlfinding.

Al JWT-dekodning og parsing sker lokalt i din browser ved hjælp af JavaScript. Dine tokens forlader aldrig din enhed og sendes aldrig til vores servere, hvilket sikrer fuldstændig privatliv og sikkerhed.

form.title

JWT-token input

Anvendelsestilfælde

usecases.intro

API-autentifikationsfejlfinding

Når API-anmodninger fejler på grund af autentifikationsfejl, dekod JWT'en for at verificere udløbstid, udsteder og målgruppe-claims for at identificere årsagen.

Sikkerhedsrevision

Inspicer JWT'er der bruges i din applikation for at verificere at følsomme data ikke eksponeres i payload og at passende algoritmer bruges.

Udvikling og test

Under udvikling, verificer hurtigt at genererede tokens indeholder de korrekte claims, roller og tilladelser før integrationstest.

Token-udløbsanalyse

Tjek 'exp' og 'iat' claims for at forstå tokenets gyldighedsperioder og fejlfinde sessionsudløbsproblemer i din applikation.

Lær JWT-struktur

Studerende og udviklere nye til JWT kan visualisere tredelt struktur (header, payload, signatur) for bedre at forstå hvordan tokenbaseret autentifikation fungerer.

Hvad er JWT (JSON Web Token)?

JWT (JSON Web Token) er en åben standard (RFC 7519) til sikker overførsel af information mellem parter som et JSON-objekt. Den er kompakt, URL-sikker og bruges bredt til autentifikation og informationsudveksling i moderne webapplikationer.

Tredelt struktur

En JWT består af tre dele adskilt af punktummer: Header (algoritme og tokentype), Payload (claims og data) og Signatur (verifikations-hash). Hver del er Base64URL-kodet for sikker transmission.

Almindelige anvendelsestilfælde

JWT'er bruges primært til autentifikation (login-sessioner), autorisation (adgangskontrol) og sikker informationsudveksling mellem tjenester. De er tilstandsløse, hvilket eliminerer behovet for serverside sessionslagring.

Sikkerhedsovervejelser

Selvom JWT'er er signeret for at forhindre manipulation, er payload kun kodet, ikke krypteret. Gem aldrig følsomme data som adgangskoder i JWT'er. Verificer altid signaturer på serversiden og brug HTTPS til transmission.

Ofte stillede spørgsmål (FAQ)

Hvad er forskellen mellem at dekode og verificere en JWT?

Dekodning betyder at udtrække og læse header og payload fra token ved hjælp af Base64Url-dekodning - alle kan gøre dette. Verifikation betyder at tjekke signaturen for at sikre at token ikke er blevet manipuleret - dette kræver den hemmelige nøgle eller offentlige nøgle. Vores værktøj dekoder kun tokens; signaturverifikation skal udføres på din sikre server.

Er det sikkert at indsætte min JWT-token her?

Vores værktøj behandler tokens udelukkende i din browser - intet sendes til servere. Du bør dog stadig være forsigtig med produktionstokens. For maksimal sikkerhed, brug kun test-/udviklingstokens, eller brug dette værktøj offline ved at gemme websiden lokalt.

Hvorfor starter min JWT med 'eyJ'?

Alle JWT'er starter med 'eyJ' fordi header-JSON (typisk {\"alg\":\"HS256\",\"typ\":\"JWT\"}) begynder med '{\"' som Base64Url-kodes til 'eyJ'. Dette er en pålidelig indikator på at en streng er en JWT-token.

Kan dette værktøj verificere JWT-signaturer?

Nej, signaturverifikation kræver den hemmelige nøgle (HMAC-algoritmer) eller offentlige nøgle (RSA/ECDSA-algoritmer). At indtaste disse nøgler i et onlineværktøj ville være en alvorlig sikkerhedsrisiko. Verificer altid signaturer på dine egne sikre servere ved hjælp af pålidelige biblioteker.

Hvad betyder 'exp' i payload?

Claim 'exp' (udløb) er et Unix-tidsstempel der angiver hvornår token udløber. Tokens skal afvises efter dette tidspunkt. For eksempel betyder 'exp': 1735689600 at token udløber 1. januar 2025 kl. 00:00:00 UTC.

Min token har tre punktummer i stedet for to. Er den gyldig?

Standard JWT'er har præcis to punktummer der adskiller tre dele (header.payload.signatur). Ekstra punktummer indikerer at token kan være fejlformateret, dobbelt-kodet eller ikke en standard JWT. Tjek din tokengeneringskode.

Kan jeg bruge dette værktøj til OAuth 2.0-tokens?

Ja! OAuth 2.0-adgangstokens og ID-tokens (fra OpenID Connect) er ofte JWT'er. Du kan dekode dem for at se brugerinformation, scopes, udløbstider og andre claims. Nogle OAuth-udbydere bruger dog opaque tokens (tilfældige strenge) som ikke kan dekodes.

Hvad er 'none'-algoritmen og hvorfor er den farlig?

Algoritmen 'none' betyder at token ikke har nogen signatur. Hvis en server accepterer tokens med 'alg': 'none', kan angribere forfalske tokens ved at oprette header/payload med alle claims og ingen signatur. Sikre systemer bør altid afvise tokens med 'none'-algoritmen.