فك ترميز JWT

اقرأ أي JWT دون إرساله إلى أي مكان

الصق رمز JSON Web Token وستقسمه الأداة إلى ثلاثة أجزاء: الترويسة (الخوارزمية التي وُقّع بها)، والحمولة (المطالبات: من هو المستخدم، وما الذي يمكنه الوصول إليه، ومتى تنتهي صلاحية الرمز)، والتوقيع. يُنسَّق JSON لتقرأه بنظرة واحدة.

تتحول مطالبات الوقت إلى تواريخ حقيقية. تُعرض exp وiat وnbf بمنطقتك الزمنية وبتوقيت UTC وبصيغة مثل “بعد 20 دقيقة” أو “قبل 3 أيام”، وتخبرك الحالة فورًا إن كان الرمز لا يزال صالحًا أو انتهت صلاحيته أو لم يصبح صالحًا بعد.

غالبًا ما تمنح الرموز وصولًا إلى حسابات حقيقية، لذلك يتم فك الترميز بالكامل في متصفحك. لا يُرفع الرمز إلى خوادمنا ولا يُسجَّل ولا يُحفظ أبدًا. هذا أكثر أمانًا من لصقه في روبوت محادثة أو في موقع يرسله إلى خادم.

كيف تفك ترميز JWT

1. انسخ الرمز من تطبيقك أو من ترويسة Authorization أو من ملف تعريف ارتباط أو من أدوات المطوّر في المتصفح.
2. الصقه في المربع. تُزال البادئة Bearer وعلامات الاقتباس والمسافات وفواصل الأسطر تلقائيًا.
3. اقرأ الملخص: الحالة والخوارزمية والمُصدِر والموضوع والجمهور ووقتا الإصدار والانتهاء بدقة.
4. استخدم أزرار النسخ لنقل JSON المنسّق للترويسة أو الحمولة إلى تقرير خطأ أو إلى ملاحظاتك.

ماذا تعني المطالبات الشائعة

• exp (وقت انتهاء الصلاحية): يجب رفض الرمز بعد هذا الوقت.
• iat (وقت الإصدار): متى أُنشئ الرمز.
• nbf (ليس قبل): يجب ألا يُقبل الرمز قبل هذا الوقت.
• iss (المُصدِر): من أنشأ الرمز، وغالبًا ما يكون عنوان URL لخادم تسجيل الدخول.
• sub (الموضوع): من يخصه الرمز، وعادةً معرّف المستخدم.
• aud (الجمهور): التطبيق أو واجهة API المقصودة بالرمز.
• alg وkid (في الترويسة): خوارزمية التوقيع مثل HS256 أو RS256، ومعرّف المفتاح الذي وقّعه.

تواريخ JWT قيم NumericDate: عدد الثواني منذ 1 يناير 1970 بتوقيت UTC. تحوّلها الأداة لك، فلا حاجة إلى محوّل طوابع زمنية منفصل.

نصائح لتصحيح الأخطاء

• إذا أعادت واجهة API الخطأ 401 مباشرة بعد تسجيل الدخول، فتحقق أولًا من exp وnbf. ساعة خادم متقدمة أو متأخرة ببضع دقائق سبب شائع، ومعظم المكتبات تسمح بهامش صغير.
• إذا ظهر تاريخ بعد عشرات آلاف السنين، فالقيمة مكتوبة بالمللي ثانية بدل الثواني. ستنبهك الأداة عندما يحدث ذلك.
• قارن aud وiss بما تتوقعه واجهة API لديك. الرمز الصادر لتطبيق أو بيئة أخرى (بيئة الاختبار بدل الإنتاج) سبب شائع لأخطاء “رمز غير صالح”.
• إذا كانت قيمة alg في الترويسة none فالرمز غير موقّع. لا تقبل مثل هذه الرموز أبدًا في الإنتاج.

الحدود وما يجب معرفته

• فك الترميز ليس تحققًا. يمكن لأي شخص إنشاء رمز بأي مطالبات، والتحقق من التوقيع بالمفتاح الصحيح على خادمك هو وحده ما يثبت أنه أصلي. هذه الأداة لا تتحقق من التوقيعات.
• حمولة JWT العادية مرمّزة فقط وليست مشفرة. يستطيع أي شخص يملك الرمز قراءتها، لذا لا تضع أبدًا كلمات مرور أو أسرارًا في المطالبات.
• الرموز المشفرة (JWE، خمسة أجزاء) لا يمكن قراءتها دون المفتاح، لذلك تُعرض ترويستها فقط.
• تُعرض الأرقام تمامًا كما هي في الرمز، فلا تُقرَّب المعرّفات الرقمية الطويلة أبدًا.

الأسئلة الشائعة

هل من الآمن لصق رمز حقيقي هنا؟

نعم. يتم فك الترميز بـ JavaScript في متصفحك ولا يُرسل الرمز إلى خوادمنا أبدًا. ومع ذلك تعامل مع الرموز الفعالة ككلمات المرور: لا تشاركها في لقطات الشاشة أو المحادثات، واتركها تنتهي صلاحيتها.

هل تخبرني هذه الأداة إن كان الرمز صالحًا؟

تخبرك بناءً على التواريخ إن كان الرمز منتهي الصلاحية أو لم يصبح صالحًا بعد. لكنها لا تستطيع معرفة إن كان التوقيع أصليًا، لأن ذلك يتطلب المفتاح السري أو العام الذي يجب أن يملكه خادمك وحده.

لماذا يظهر رمز حصلت عليه للتو على أنه منتهي الصلاحية؟

تحقق من ساعة الخادم الذي أصدر الرمز، وتأكد أن exp بالثواني لا بالمللي ثانية. إذا كان iat أيضًا قبل ساعات، فالأرجح أن ساعة الخادم خاطئة.

ما الفرق بين فك ترميز JWT وفك ترميز Base64؟

يتكون JWT من ثلاثة أجزاء مرمّزة بـ Base64URL تربطها نقاط. أداة Base64 تقرأ جزءًا واحدًا في كل مرة، أما أداة JWT فتقسم الرمز تلقائيًا وتتعامل مع الأحرف الآمنة للروابط والحشو المفقود وتحوّل التواريخ إلى أوقات مقروءة.

هل تعمل دون اتصال بالإنترنت؟

نعم. بعد تحميل الصفحة يمكنك قطع الاتصال بالإنترنت ومواصلة فك ترميز الرموز.

أدوات ذات صلة

• فك تشفير Base64: فك ترميز Base64 إلى نص مقروء فوراً، مع دعم العربية والرموز. افحص ترويسات المصادقة وأجزاء JWT وحمولات API. مجاني بدون تسجيل.
• مدقق ومنسق JSON: تحقق من صحة JSON واعرض الأخطاء، وحوّل JSON المضغوط إلى كود مرتب وسهل القراءة. منسق JSON مجاني يعمل في المتصفح بدون تسجيل.
• فك ترميز URL: حوّل الروابط المرمّزة مثل %D9%85%D8%B1%D8%AD%D8%A8%D8%A7 إلى نص عربي مقروء فوراً. URL Decoder مجاني يعمل في المتصفح بدون تسجيل.
• تشفير Base64: حوّل أي نص إلى Base64 فوراً، مع دعم كامل للعربية بترميز UTF-8. مفيد لـ Data URI وترويسات المصادقة وواجهات API. مجاني بدون تسجيل.