JWT-dekoder

Dekod og inspiser JSON Web Tokens umiddelbart

JWT-dekoder er et gratis nettverktøy for å dekode, parse og inspere JSON Web Tokens (JWT). Vis umiddelbart token header, payload, signatur og claims. Feilsøk autentiserings- og autorisasjonstokens som brukes i OAuth 2.0, OpenID Connect og moderne webapplikasjoner. Fungerer helt i nettleseren din med fullstendig personvern - ingen tokens sendes noensinne til våre servere.

Hvordan bruke JWT-dekoder

Å dekode JWT-tokens er enkelt og umiddelbart:

Steg 1: Lim inn JWT-token
Lim inn din komplette JWT-token i inndatafeltet. JWT-tokens starter vanligvis med 'eyJ' og inneholder tre deler separert med punktum (header.payload.signatur).
Steg 2: Automatisk dekoding
Token dekodes og parses automatisk i sanntid. Ingen knapper å klikke - resultater vises umiddelbart når du limer inn.
Steg 3: Inspiser token-deler
Vis den dekodede headeren (algoritme, type), payload (claims, utløp, utstedt-ved), og signaturen. Hver del vises i formatert JSON for enkel lesing og feilsøking.

All JWT-dekoding og parsing skjer lokalt i nettleseren din med JavaScript. Dine tokens forlater aldri enheten din og sendes aldri til våre servere, noe som sikrer fullstendig personvern og sikkerhet.

form.title

JWT-token inndata

Bruksområder

usecases.intro

Feilsøking av API-autentisering

Når API-forespørsler mislykkes på grunn av autentiseringsfeil, dekod JWT for å verifisere utløpstid, utsteder og målgruppe-claims for å identifisere rotårsaken.

Sikkerhetsrevisjon

Inspiser JWT-er brukt i applikasjonen din for å bekrefte at sensitive data ikke eksponeres i payload og at passende algoritmer brukes.

Utvikling og testing

Under utvikling, verifiser raskt at genererte tokens inneholder korrekte claims, roller og tillatelser før integrasjonstester.

Token-utløpsanalyse

Sjekk 'exp' og 'iat' claims for å forstå tokenets gyldighetsperioder og løse problemer med sesjonstidsavbrudd i applikasjonen din.

Lære JWT-struktur

Studenter og utviklere som er nye til JWT kan visualisere den tredelte strukturen (header, payload, signatur) for bedre å forstå hvordan tokenbasert autentisering fungerer.

Hva er JWT (JSON Web Token)?

JWT (JSON Web Token) er en åpen standard (RFC 7519) for sikker overføring av informasjon mellom parter som et JSON-objekt. Den er kompakt, URL-sikker og mye brukt for autentisering og informasjonsutveksling i moderne webapplikasjoner.

Tredelt struktur

En JWT består av tre deler adskilt av punktum: Header (algoritme og tokentype), Payload (claims og data) og Signatur (verifiseringshash). Hver del er Base64URL-kodet for sikker overføring.

Vanlige bruksområder

JWT brukes primært for autentisering (innloggingsøkter), autorisasjon (tilgangskontroll) og sikker informasjonsutveksling mellom tjenester. De er tilstandsløse, noe som eliminerer behovet for serverside sesjonslagring.

Sikkerhetshensyn

Selv om JWT-er er signert for å forhindre manipulering, er payload kun kodet, ikke kryptert. Lagre aldri sensitive data som passord i JWT-er. Verifiser alltid signaturer på serversiden og bruk HTTPS for overføring.

Ofte stilte spørsmål (FAQ)

Hva er forskjellen mellom å dekode og verifisere en JWT?

Dekoding betyr å trekke ut og lese header og payload fra token ved hjelp av Base64Url-dekoding - hvem som helst kan gjøre dette. Verifisering betyr å sjekke signaturen for å sikre at token ikke har blitt manipulert - dette krever den hemmelige nøkkelen eller offentlige nøkkelen. Vårt verktøy dekoder bare tokens; signaturverifisering må gjøres på din sikre server.

Er det trygt å lime inn JWT-token her?

Vårt verktøy behandler tokens helt i nettleseren din - ingenting sendes til servere. Du bør likevel være forsiktig med produksjonstokens. For maksimal sikkerhet, bruk bare test-/utviklingstokens, eller bruk dette verktøyet frakoblet ved å lagre nettsiden lokalt.

Hvorfor begynner JWT med 'eyJ'?

Alle JWT-er begynner med 'eyJ' fordi header-JSON (typisk {\"alg\":\"HS256\",\"typ\":\"JWT\"}) begynner med '{\"' som Base64Url-kodes til 'eyJ'. Dette er en pålitelig indikator på at en streng er en JWT-token.

Kan dette verktøyet verifisere JWT-signaturer?

Nei, signaturverifisering krever den hemmelige nøkkelen (HMAC-algoritmer) eller offentlige nøkkelen (RSA/ECDSA-algoritmer). Å skrive inn disse nøklene i et nettverktøy ville være en alvorlig sikkerhetsrisiko. Verifiser alltid signaturer på dine egne sikre servere ved hjelp av pålitelige biblioteker.

Hva betyr 'exp' i payload?

Claimen 'exp' (utløp) er et Unix-tidsstempel som angir når token utløper. Tokens skal avvises etter denne tiden. For eksempel, 'exp': 1735689600 betyr at token utløper 1. januar 2025 kl. 00:00:00 UTC.

Min token har tre punktum i stedet for to. Er den gyldig?

Standard JWT-er har nøyaktig to punktum som skiller tre deler (header.payload.signatur). Ekstra punktum indikerer at token kan være feilformatert, dobbelkodet eller ikke en standard JWT. Sjekk tokengenererkoden din.

Kan jeg bruke dette verktøyet for OAuth 2.0-tokens?

Ja! OAuth 2.0-tilgangstokens og ID-tokens (fra OpenID Connect) er ofte JWT-er. Du kan dekode dem for å vise brukerinformasjon, scopes, utløpstider og andre claims. Noen OAuth-leverandører bruker imidlertid ugjennomsiktige tokens (tilfeldige strenger) som ikke kan dekodes.

Hva er 'none'-algoritmen og hvorfor er den farlig?

Algoritmen 'none' betyr at token ikke har noen signatur. Hvis en server aksepterer tokens med 'alg': 'none', kan angripere forfalske tokens ved å opprette header/payload med hvilke som helst claims og ingen signatur. Sikre systemer bør alltid avvise tokens med 'none'-algoritmen.