JWT Decoder

Decodeer en inspecteer JSON Web Tokens direct

JWT Decoder is een gratis online tool voor het decoderen, parseren en inspecteren van JSON Web Tokens (JWT). Bekijk direct de token header, payload, handtekening en claims. Debug authenticatie- en autorisatietokens die worden gebruikt in OAuth 2.0, OpenID Connect en moderne webapplicaties. Werkt volledig in uw browser met volledige privacy - tokens worden nooit naar onze servers verzonden.

Hoe gebruik je JWT Decoder

JWT-tokens decoderen is eenvoudig en direct:

Stap 1: Plak uw JWT-token
Plak uw volledige JWT-token in het invoerveld. JWT-tokens beginnen meestal met 'eyJ' en bevatten drie delen gescheiden door punten (header.payload.handtekening).
Stap 2: Automatische decodering
De token wordt automatisch in real-time gedecodeerd en geparseerd. U hoeft niet op een knop te klikken - resultaten verschijnen direct wanneer u plakt.
Stap 3: Inspecteer tokendelen
Bekijk de gedecodeerde header (algoritme, type), payload (claims, vervaldatum, uitgiftedatum) en handtekening. Elk deel wordt weergegeven in geformatteerde JSON voor gemakkelijk lezen en debuggen.

Alle JWT-decodering en -parsing gebeurt lokaal in uw browser met JavaScript. Uw tokens verlaten nooit uw apparaat en worden nooit naar onze servers verzonden, wat volledige privacy en beveiliging garandeert.

form.title

JWT Token invoer

Gebruikssituaties

usecases.intro

API-authenticatie Debuggen

Wanneer API-verzoeken mislukken door authenticatiefouten, decodeer de JWT om de vervaltijd, uitgever en audience claims te controleren om de oorzaak te identificeren.

Beveiligingsaudit

Inspecteer JWT's die in uw applicatie worden gebruikt om te verifiëren dat gevoelige gegevens niet worden blootgesteld in de payload en dat geschikte algoritmen worden gebruikt.

Ontwikkeling en Testen

Tijdens de ontwikkeling, verifieer snel of gegenereerde tokens de juiste claims, rollen en permissies bevatten vóór integratietests.

Token Vervalanalyse

Controleer de 'exp' en 'iat' claims om tokengeldigheidsperioden te begrijpen en sessietime-outproblemen in uw applicatie op te lossen.

JWT-structuur Leren

Studenten en ontwikkelaars die nieuw zijn met JWT kunnen de driedelige structuur (header, payload, handtekening) visualiseren om beter te begrijpen hoe tokengebaseerde authenticatie werkt.

Wat is JWT (JSON Web Token)?

JWT (JSON Web Token) is een open standaard (RFC 7519) voor het veilig verzenden van informatie tussen partijen als een JSON-object. Het is compact, URL-veilig en wordt veel gebruikt voor authenticatie en informatie-uitwisseling in moderne webapplicaties.

Driedelige Structuur

Een JWT bestaat uit drie delen gescheiden door punten: Header (algoritme en tokentype), Payload (claims en gegevens) en Handtekening (verificatiehash). Elk deel is Base64URL-gecodeerd voor veilige verzending.

Veelvoorkomende Gebruikssituaties

JWT's worden voornamelijk gebruikt voor authenticatie (inlogsessies), autorisatie (toegangscontrole) en veilige informatie-uitwisseling tussen services. Ze zijn stateless, waardoor serverside sessie-opslag overbodig wordt.

Beveiligingsoverwegingen

Hoewel JWT's zijn ondertekend om manipulatie te voorkomen, is de payload alleen gecodeerd, niet versleuteld. Bewaar nooit gevoelige gegevens zoals wachtwoorden in JWT's. Verifieer altijd handtekeningen aan de serverkant en gebruik HTTPS voor verzending.

Veelgestelde vragen (FAQ)

Wat is het verschil tussen decoderen en verifiëren van een JWT?

Decoderen betekent het extraheren en lezen van header en payload uit de token met Base64Url-decodering - iedereen kan dit doen. Verifiëren betekent het controleren van de handtekening om ervoor te zorgen dat de token niet is gemanipuleerd - dit vereist de geheime sleutel of publieke sleutel. Onze tool decodeert alleen tokens; handtekeningverificatie moet worden uitgevoerd op uw beveiligde server.

Is het veilig om mijn JWT-token hier te plakken?

Onze tool verwerkt tokens volledig in uw browser - er wordt niets naar servers verzonden. U moet echter nog steeds voorzichtig zijn met productietokens. Voor maximale beveiliging gebruikt u alleen test/ontwikkelingstokens of gebruikt u deze tool offline door de webpagina lokaal op te slaan.

Waarom begint mijn JWT met 'eyJ'?

Alle JWT's beginnen met 'eyJ' omdat de header JSON (meestal {"alg":"HS256","typ":"JWT"}) begint met '{"' wat Base64Url gecodeerd 'eyJ' wordt. Dit is een betrouwbare indicator dat een string een JWT-token is.

Kan deze tool JWT-handtekeningen verifiëren?

Nee, handtekeningverificatie vereist de geheime sleutel (HMAC-algoritmen) of publieke sleutel (RSA/ECDSA-algoritmen). Het invoeren van deze sleutels in een online tool zou een ernstig beveiligingsrisico zijn. Verifieer altijd handtekeningen op uw eigen beveiligde servers met betrouwbare bibliotheken.

Wat betekent 'exp' in de payload?

De 'exp' (vervaldatum) claim is een Unix timestamp die aangeeft wanneer de token verloopt. Tokens moeten na deze tijd worden afgewezen. Bijvoorbeeld, 'exp': 1735689600 betekent dat de token verloopt op 1 januari 2025 om 00:00:00 UTC.

Mijn token heeft drie punten in plaats van twee. Is het geldig?

Standaard JWT's hebben precies twee punten die drie delen scheiden (header.payload.handtekening). Extra punten duiden erop dat de token mogelijk is vervormd, dubbel gecodeerd of geen standaard JWT is. Controleer uw tokengeneratiecode.

Kan ik deze tool gebruiken voor OAuth 2.0-tokens?

Ja! OAuth 2.0-toegangstokens en ID-tokens (van OpenID Connect) zijn vaak JWT's. U kunt ze decoderen om gebruikersinformatie, scopes, vervaldatums en andere claims te bekijken. Sommige OAuth-providers gebruiken echter ondoorzichtige tokens (willekeurige strings) die niet kunnen worden gedecodeerd.

Wat is het 'none'-algoritme en waarom is het gevaarlijk?

Het 'none'-algoritme betekent dat de token geen handtekening heeft. Als een server tokens accepteert met 'alg': 'none', kunnen aanvallers tokens vervalsen door header/payload te maken met willekeurige claims en zonder handtekening. Beveiligde systemen moeten altijd tokens met het 'none'-algoritme afwijzen.