JWT-Decoder

JSON Web Tokens sofort dekodieren & prüfen

JWT-Decoder ist ein kostenloses Online-Tool zum Dekodieren, Parsen und Prüfen von JSON Web Tokens (JWT). Sofortige Anzeige von Token-Header, Payload, Signatur und Claims. Debuggen Sie Authentifizierungs- und Autorisierungstoken, die in OAuth 2.0, OpenID Connect und modernen Webanwendungen verwendet werden. Funktioniert vollständig in Ihrem Browser mit vollständigem Datenschutz - keine Tokens werden jemals an unsere Server gesendet.

How to Use JWT Decoder

Decoding JWT tokens is simple and instant:

Step 1: Paste Your JWT Token
Paste your complete JWT token into the input field. JWT tokens typically start with 'eyJ' and contain three parts separated by dots (header.payload.signature).
Step 2: Automatic Decoding
The token is automatically decoded and parsed in real-time. No need to click any button - results appear instantly as you paste.
Step 3: Inspect Token Parts
View the decoded header (algorithm, type), payload (claims, expiration, issued-at), and signature. Each part is displayed in formatted JSON for easy reading and debugging.

All JWT decoding and parsing happens locally in your browser using JavaScript. Your tokens never leave your device and are never sent to our servers, ensuring complete privacy and security.

form.title

JWT Token Input

Anwendungsfälle

usecases.intro

API-Authentifizierung debuggen

Wenn API-Anfragen aufgrund von Authentifizierungsfehlern fehlschlagen, dekodieren Sie das JWT, um Ablaufzeit, Aussteller und Zielgruppen-Claims zu überprüfen und die Ursache zu identifizieren.

Sicherheitsaudit

Überprüfen Sie JWTs in Ihrer Anwendung, um sicherzustellen, dass sensible Daten nicht im Payload offengelegt werden und geeignete Algorithmen verwendet werden.

Entwicklung & Testing

Während der Entwicklung können Sie schnell überprüfen, ob generierte Token die korrekten Claims, Rollen und Berechtigungen enthalten, bevor Sie Integrationstests durchführen.

Token-Ablaufanalyse

Überprüfen Sie die 'exp'- und 'iat'-Claims, um Token-Gültigkeitszeiträume zu verstehen und Sitzungs-Timeout-Probleme in Ihrer Anwendung zu beheben.

JWT-Struktur lernen

Studenten und Entwickler, die neu bei JWT sind, können die dreiteilige Struktur (Header, Payload, Signatur) visualisieren, um besser zu verstehen, wie tokenbasierte Authentifizierung funktioniert.

Was ist JWT (JSON Web Token)?

JWT (JSON Web Token) ist ein offener Standard (RFC 7519) zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt. Es ist kompakt, URL-sicher und wird in modernen Webanwendungen häufig für Authentifizierung und Informationsaustausch verwendet.

Dreiteilige Struktur

Ein JWT besteht aus drei durch Punkte getrennten Teilen: Header (Algorithmus und Token-Typ), Payload (Claims und Daten) und Signatur (Verifikations-Hash). Jeder Teil ist für sichere Übertragung Base64URL-kodiert.

Häufige Anwendungsfälle

JWTs werden hauptsächlich für Authentifizierung (Login-Sitzungen), Autorisierung (Zugriffskontrolle) und sicheren Informationsaustausch zwischen Diensten verwendet. Sie sind zustandslos und benötigen keine serverseitige Sitzungsspeicherung.

Sicherheitsaspekte

Obwohl JWTs signiert sind, um Manipulation zu verhindern, ist der Payload nur kodiert, nicht verschlüsselt. Speichern Sie niemals sensible Daten wie Passwörter in JWTs. Überprüfen Sie Signaturen immer serverseitig und verwenden Sie HTTPS für die Übertragung.

Frequently Asked Questions (FAQ)

What is the difference between decoding and verifying a JWT?

Decoding means extracting and reading the header and payload from the token using Base64Url decoding - anyone can do this. Verifying means checking the signature to ensure the token wasn't tampered with - this requires the secret key or public key. Our tool only decodes tokens; signature verification must be done on your secure server.

Is it safe to paste my JWT token here?

Our tool processes tokens entirely in your browser - nothing is sent to servers. However, you should still be cautious with production tokens. For maximum security, only use test/development tokens, or use this tool offline by saving the webpage locally.

Why does my JWT start with 'eyJ'?

All JWTs start with 'eyJ' because the header JSON (typically {"alg":"HS256","typ":"JWT"}) begins with '{"' which Base64Url encodes to 'eyJ'. This is a reliable indicator that a string is a JWT token.

Can this tool verify JWT signatures?

No, signature verification requires the secret key (HMAC algorithms) or public key (RSA/ECDSA algorithms). Entering these keys into an online tool would be a serious security risk. Always verify signatures on your own secure servers using trusted libraries.

What does 'exp' mean in the payload?

The 'exp' (expiration) claim is a Unix timestamp indicating when the token expires. Tokens should be rejected after this time. For example, 'exp': 1735689600 means the token expires on January 1, 2025 at 00:00:00 UTC.

My token has three dots instead of two. Is it valid?

Standard JWTs have exactly two dots separating three parts (header.payload.signature). Extra dots indicate the token may be malformed, double-encoded, or not a standard JWT. Check your token generation code.

Can I use this tool for OAuth 2.0 tokens?

Yes! OAuth 2.0 access tokens and ID tokens (from OpenID Connect) are often JWTs. You can decode them to view user information, scopes, expiration times, and other claims. However, some OAuth providers use opaque tokens (random strings) which cannot be decoded.

What is the 'none' algorithm and why is it dangerous?

The 'none' algorithm means the token has no signature. If a server accepts tokens with 'alg': 'none', attackers can forge tokens by creating header/payload with any claims and no signature. Secure systems should always reject tokens with the 'none' algorithm.