JWT-Decoder

Jedes JWT lesen, ohne es irgendwohin zu senden

Fügen Sie ein JSON Web Token ein, und der Decoder zerlegt es in seine drei Teile: den Header (mit welchem Algorithmus signiert wurde), die Payload (die Claims: wer der Nutzer ist, worauf er zugreifen darf und wann das Token abläuft) und die Signatur. Das JSON wird formatiert, damit Sie es auf einen Blick lesen können.

Zeit-Claims werden zu echten Datumsangaben. exp, iat und nbf erscheinen in Ihrer Zeitzone, in UTC und als „in 20 Minuten“ oder „vor 3 Tagen“, und der Status zeigt sofort, ob das Token noch gültig, abgelaufen oder noch nicht gültig ist.

Tokens öffnen oft echte Konten, deshalb wird alles in Ihrem Browser dekodiert. Das Token wird nie auf unseren Server hochgeladen, protokolliert oder gespeichert – sicherer, als es in einen Chatbot oder auf eine Website einzufügen, die es an einen Server schickt.

So dekodieren Sie ein JWT

1. Kopieren Sie das Token aus Ihrer App, einem Authorization-Header, einem Cookie oder den Entwicklertools Ihres Browsers.
2. Fügen Sie es in das Feld ein. Das Präfix Bearer, Anführungszeichen, Leerzeichen und Zeilenumbrüche werden automatisch entfernt.
3. Lesen Sie die Übersicht: Status, Algorithmus, Aussteller, Subjekt, Zielgruppe und die genauen Ausstellungs- und Ablaufzeiten.
4. Mit den Kopier-Buttons übernehmen Sie das formatierte JSON von Header oder Payload in einen Bugreport oder Ihre Notizen.

Was die gängigen Claims bedeuten

• exp (expiration time): Ab diesem Zeitpunkt muss das Token abgelehnt werden.
• iat (issued at): wann das Token erstellt wurde.
• nbf (not before): Vor diesem Zeitpunkt darf das Token nicht akzeptiert werden.
• iss (issuer): wer das Token ausgestellt hat, oft die URL Ihres Login-Servers.
• sub (subject): um wen es im Token geht, meist eine Nutzer-ID.
• aud (audience): für welche App oder API das Token gedacht ist.
• alg und kid (im Header): der Signaturalgorithmus, etwa HS256 oder RS256, und die ID des Schlüssels, mit dem signiert wurde.

JWT-Zeitangaben sind NumericDate-Werte: die Anzahl der Sekunden seit dem 1. Januar 1970 UTC. Der Decoder rechnet sie für Sie um, Sie brauchen also keinen separaten Timestamp-Konverter.

Tipps zur Fehlersuche

• Antwortet eine API direkt nach dem Login mit 401, prüfen Sie zuerst exp und nbf. Eine Serveruhr, die ein paar Minuten vor- oder nachgeht, ist eine häufige Ursache; die meisten Bibliotheken erlauben dafür eine kleine Toleranz.
• Ein Datum Zehntausende Jahre in der Zukunft bedeutet, dass der Wert in Millisekunden statt Sekunden geschrieben wurde. Der Decoder warnt Sie in diesem Fall.
• Vergleichen Sie aud und iss mit dem, was Ihre API erwartet. Ein Token für eine andere App oder Umgebung (Staging statt Produktion) ist eine häufige Ursache für „ungültiges Token“.
• Ein Header mit alg gleich none bedeutet, dass das Token nicht signiert ist. Akzeptieren Sie solche Tokens nie in Produktion.

Grenzen und gut zu wissen

• Dekodieren ist nicht verifizieren. Jeder kann ein Token mit beliebigen Claims erstellen; nur die Prüfung der Signatur mit dem richtigen Schlüssel auf Ihrem Server beweist, dass es echt ist. Dieses Tool prüft keine Signaturen.
• Die Payload eines normalen JWT ist nur kodiert, nicht verschlüsselt. Wer das Token hat, kann sie lesen – speichern Sie daher nie Passwörter oder Geheimnisse in Claims.
• Verschlüsselte Tokens (JWE, fünf Teile) lassen sich ohne Schlüssel nicht lesen, daher wird nur ihr Header angezeigt.
• Zahlen werden genau so angezeigt, wie sie im Token stehen – lange numerische IDs werden also nie gerundet.

Häufige Fragen

Ist es sicher, hier ein echtes Token einzufügen?

Ja. Das Dekodieren läuft per JavaScript in Ihrem Browser und das Token wird nie an unseren Server gesendet. Behandeln Sie aktive Tokens trotzdem wie Passwörter: Teilen Sie sie nicht in Screenshots oder Chats und lassen Sie sie ablaufen.

Sagt mir das Tool, ob ein Token gültig ist?

Es zeigt anhand der Zeitangaben, ob das Token abgelaufen oder noch nicht gültig ist. Ob die Signatur echt ist, kann es nicht sagen, denn dafür braucht man den geheimen oder öffentlichen Schlüssel, den nur Ihr Server haben sollte.

Warum gilt mein Token als abgelaufen, obwohl ich es gerade bekommen habe?

Prüfen Sie die Uhr des Servers, der es ausgestellt hat, und ob exp in Sekunden statt Millisekunden angegeben ist. Liegt auch iat Stunden in der Vergangenheit, geht die Serveruhr wahrscheinlich falsch.

Was ist der Unterschied zwischen einem JWT-Decoder und einem Base64-Decoder?

Ein JWT besteht aus drei Base64URL-kodierten Teilen, die durch Punkte verbunden sind. Ein Base64-Decoder liest jeweils einen Teil; der JWT-Decoder zerlegt das Token für Sie, versteht das URL-sichere Alphabet und fehlende Auffüllung und macht aus den Zeitangaben lesbare Uhrzeiten.

Funktioniert es offline?

Ja. Sobald die Seite geladen ist, können Sie die Internetverbindung trennen und weiter Tokens dekodieren.

Ähnliche Tools

• Base64-Decoder: Decodieren Sie Base64-Strings sofort in lesbaren Text. Prüfen Sie Authentifizierungs-Header, Tokens, API-Payloads und E-Mails. Kostenloser Decoder.
• JSON-Validator und -Formatierer: Validieren und formatieren Sie JSON online. Finden Sie Syntaxfehler und machen Sie minifiziertes JSON zu lesbarem, eingerücktem Code. Kostenlos, ohne Anmeldung.
• URL-Decoder: Decodieren Sie prozentcodierte URLs und Query-Strings in lesbaren Text. Wandelt %20, %26 und %C3%A9 sofort um. Kostenlos und ohne Anmeldung.
• Base64-Encoder: Codieren Sie beliebigen Text sofort in Base64. Nützlich für Data-URIs, HTTP-Basic-Authentifizierung, E-Mails und APIs. Kostenloser Base64-Encoder.