JWT Decoder
Fügen Sie einen beliebigen JSON Web Token ein, um Header und Payload zu dekodieren, Standard-Claims einzusehen, das Ablaufdatum zu prüfen und optional die Signatur zu verifizieren. Alles läuft im Browser — Ihr Token verlässt Ihr Gerät nie.
JWT-Token
Header
—Payload
—Signatur
Es werden keine Daten an unsere Server gesendet. Die gesamte Dekodierung und Verifizierung erfolgt vollständig in Ihrem Browser.
Signatur prüfen
Die Signaturprüfung wird nur für HS256-Tokens unterstützt. Geben Sie das HMAC-Secret ein, das zum Signieren dieses Tokens verwendet wurde.
So verwenden Sie dieses Tool
- Fügen Sie Ihren JWT in das Textfeld ein — er wird sofort dekodiert.
- Sehen Sie im Header-Bereich den Signaturalgorithmus und den Token-Typ.
- Lesen Sie den Payload-Bereich, um alle Claims einzusehen. Enthält der Token ein 'exp'-Feld, zeigt ein Badge, ob er noch gültig ist.
- Um eine HS256-Signatur zu verifizieren, geben Sie das Secret im Abschnitt Signatur prüfen ein und klicken Sie auf Prüfen.
- Verwenden Sie den Kopieren-Button in jedem Bereich, um das dekodierte JSON in die Zwischenablage zu kopieren.
Warum unser JWT Decoder verwenden?
Die Fehlersuche bei JWT-Authentifizierung ist eine häufige Entwickleraufgabe, aber das Einfügen von Tokens in Drittanbieter-Websites birgt Risiken. Dieser Decoder läuft vollständig im Browser — es werden keine Daten übertragen. Verwenden Sie ihn sicher auch für Produktions-Tokens beim lokalen Debuggen oder bei Sicherheitsüberprüfungen.
Häufig gestellte Fragen
Was ist ein JWT?
Ein JSON Web Token (JWT) ist eine kompakte, URL-sichere Zeichenkette zur sicheren Übertragung von Informationen zwischen Parteien. Er besteht aus drei base64url-kodierten Abschnitten, die durch Punkte getrennt sind: Header (Algorithmus und Typ), Payload (Claims wie Benutzer-ID, Rollen und Ablaufzeit) und Signature zur Authentizitätsprüfung.
Sind JWTs verschlüsselt?
Standardmäßig nicht. Normale JWTs (JWS — JSON Web Signature) sind signiert, aber nicht verschlüsselt. Header und Payload sind für jeden lesbar, der den Token besitzt. Für Vertraulichkeit verwenden Sie JWE (JSON Web Encryption). Sensible Daten — Passwörter, Kartennummern — gehören niemals in einen einfachen JWT-Payload.
Was bedeutet 'alg: none' und warum ist es gefährlich?
Der Wert 'alg: none' im JWT-Header bedeutet, dass der Token keine Signatur trägt. Manche Server haben solche Tokens in der Vergangenheit als gültig akzeptiert, was Angreifern ermöglichte, beliebige Payloads zu fälschen. Dies ist eine bekannte Sicherheitslücke (CVE-2015-9235). Ein korrekt implementierter Server muss Tokens mit 'alg: none' immer ablehnen.
Wie kann ich eine JWT-Signatur mit diesem Tool prüfen?
Bei HS256-Tokens geben Sie das HMAC-Secret im Abschnitt Signatur prüfen ein und klicken auf Prüfen. Das Tool berechnet die erwartete Signatur im Browser und vergleicht sie mit der des Tokens. RS256 und andere asymmetrische Algorithmen werden nicht unterstützt — verwenden Sie dafür eine serverseitige Bibliothek.
Was sind die häufigsten JWT-Claims?
'iss' (issuer) gibt an, wer den Token ausgestellt hat. 'sub' (subject) identifiziert den Hauptnutzer — oft eine Benutzer-ID. 'exp' (expiration time) ist ein Unix-Timestamp, nach dem der Token abgelehnt werden muss. 'iat' (issued at) verzeichnet, wann der Token erstellt wurde. 'nbf' (not before) legt den frühesten Gültigkeitszeitpunkt fest. 'aud' (audience) gibt die beabsichtigten Empfänger an.
Verwandte Werkzeuge
Hash-Generator
Erzeugen Sie MD5-, SHA-1-, SHA-256- und SHA-512-Hashes aus Text oder Dateien in Ihrem Browser.
Base64 Encoder / Decoder
Kodieren und dekodieren Sie Base64-Text schnell und einfach.
Cron-Ausdruck-Generator
Erstellen, testen und verstehen Sie Cron-Ausdrücke mit einem visuellen Builder und nächsten Ausführungszeiten.
JSON-Formatter
Formatieren und validieren Sie JSON sofort für Entwicklung und Debugging.
Zuletzt besuchte Werkzeuge
Cron Expression Builder
DeveloperBuild, test, and understand cron expressions with a visual builder and next run times.
CSS Gradient Generator
DeveloperCreate linear, radial and conic CSS gradients with a live visual editor. Copy the CSS code instantly.
Regex Tester
DeveloperTest and debug regular expressions with real-time match highlighting, group capture, and substitution.