JWT çözücü

Herhangi bir JWT’yi hiçbir yere göndermeden okuyun

Bir JSON Web Token yapıştırın; çözücü onu üç parçaya ayırır: başlık (hangi algoritmayla imzalandığı), payload (claim’ler: kullanıcının kim olduğu, nelere erişebildiği ve token’ın ne zaman sona erdiği) ve imza. JSON biçimlendirilir, böylece bir bakışta okursunuz.

Zaman claim’leri gerçek tarihlere dönüşür. exp, iat ve nbf kendi saat diliminizde, UTC olarak ve “20 dakika sonra” ya da “3 gün önce” biçiminde gösterilir; durum alanı da token’ın hâlâ geçerli mi, süresi dolmuş mu yoksa henüz geçerli değil mi olduğunu hemen söyler.

Token’lar çoğu zaman gerçek hesaplara erişim sağlar, bu yüzden her şey tarayıcınızda çözülür. Token asla sunucumuza yüklenmez, kaydedilmez veya saklanmaz; bu, onu bir sohbet botuna ya da sunucuya gönderen bir siteye yapıştırmaktan daha güvenlidir.

JWT nasıl çözülür

1. Token’ı uygulamanızdan, bir Authorization başlığından, bir çerezden veya tarayıcınızın geliştirici araçlarından kopyalayın.
2. Kutuya yapıştırın. Bearer öneki, tırnaklar, boşluklar ve satır sonları otomatik olarak kaldırılır.
3. Özeti okuyun: durum, algoritma, yayıncı, konu, hedef kitle ve tam verilme ve sona erme zamanları.
4. Kopyalama düğmeleriyle başlığın veya payload’un biçimlendirilmiş JSON’unu bir hata raporuna ya da notlarınıza aktarın.

Yaygın claim’lerin anlamı

• exp (expiration time): bu andan sonra token reddedilmelidir.
• iat (issued at): token’ın oluşturulduğu zaman.
• nbf (not before): token bu andan önce kabul edilmemelidir.
• iss (issuer): token’ı kimin oluşturduğu, çoğu zaman giriş sunucunuzun URL’si.
• sub (subject): token’ın kimi ilgilendirdiği, genellikle bir kullanıcı kimliği.
• aud (audience): token’ın hangi uygulama veya API için olduğu.
• alg ve kid (başlıkta): HS256 veya RS256 gibi imza algoritması ve imzalayan anahtarın kimliği.

JWT tarihleri NumericDate değerleridir: 1 Ocak 1970 UTC’den bu yana geçen saniye sayısı. Çözücü bunları sizin için dönüştürür, ayrı bir timestamp dönüştürücüsüne gerek kalmaz.

Hata ayıklama ipuçları

• Bir API girişten hemen sonra 401 dönüyorsa önce exp ve nbf alanlarına bakın. Birkaç dakika ileri veya geri giden bir sunucu saati sık görülen bir nedendir; çoğu kütüphane bunun için küçük bir tolerans tanır.
• On binlerce yıl sonrasına ait bir tarih, değerin saniye yerine milisaniye olarak yazıldığını gösterir. Çözücü bu durumda sizi uyarır.
• aud ve iss değerlerini API’nizin beklediğiyle karşılaştırın. Başka bir uygulama veya ortam (canlı yerine test) için verilmiş bir token, “geçersiz token” hatalarının sık nedenidir.
• alg değeri none olan bir başlık, token’ın imzasız olduğu anlamına gelir. Bu tür token’ları canlı ortamda asla kabul etmeyin.

Sınırlar ve bilinmesi gerekenler

• Çözmek doğrulamak değildir. Herkes istediği claim’lerle bir token oluşturabilir; gerçek olduğunu yalnızca imzanın doğru anahtarla sunucunuzda kontrol edilmesi kanıtlar. Bu araç imza doğrulamaz.
• Normal bir JWT’nin payload’u yalnızca kodlanmıştır, şifrelenmemiştir. Token’a sahip olan herkes okuyabilir; bu yüzden claim’lere asla parola veya gizli bilgi koymayın.
• Şifreli token’lar (JWE, beş parça) anahtar olmadan okunamaz, bu yüzden yalnızca başlıkları gösterilir.
• Sayılar token’da nasıl yazıldıysa öyle gösterilir; uzun sayısal kimlikler asla yuvarlanmaz.

Sık sorulan sorular

Gerçek bir token’ı buraya yapıştırmak güvenli mi?

Evet. Çözme işlemi tarayıcınızda JavaScript ile yapılır ve token asla sunucumuza gönderilmez. Yine de etkin token’lara parola gibi davranın: ekran görüntülerinde veya sohbetlerde paylaşmayın ve süresinin dolmasına izin verin.

Bu araç bir token’ın geçerli olup olmadığını söyler mi?

Tarihlerine göre token’ın süresinin dolup dolmadığını veya henüz geçerli olup olmadığını söyler. İmzanın gerçek olup olmadığını söyleyemez, çünkü bunun için yalnızca sunucunuzda olması gereken gizli veya açık anahtar gerekir.

Yeni aldığım token neden süresi dolmuş görünüyor?

Token’ı veren sunucunun saatini kontrol edin ve exp değerinin milisaniye değil saniye cinsinden olduğundan emin olun. iat da saatlerce geçmişteyse, sunucu saati büyük olasılıkla yanlıştır.

JWT çözücü ile Base64 çözücü arasındaki fark nedir?

Bir JWT, noktalarla birleştirilmiş üç Base64URL kodlu parçadır. Base64 çözücü her seferinde bir parçayı okur; JWT çözücü ise token’ı sizin için ayırır, URL güvenli alfabeyi ve eksik dolguyu tanır ve tarihleri okunabilir saatlere çevirir.

Çevrimdışı çalışır mı?

Evet. Sayfa yüklendikten sonra internet bağlantısını kesip token çözmeye devam edebilirsiniz.

İlgili araçlar

• Base64 çözücü: Base64 metinlerini anında okunabilir metne çözün. Auth başlıklarını, token’ları, API verilerini ve e-postaları inceleyin. Ücretsiz Base64 decoder.
• JSON doğrulayıcı ve biçimlendirici: JSON’u çevrimiçi doğrulayın ve okunur hale getirin. Söz dizimi hatalarını bulun, tek satırlık JSON’u girintili koda çevirin. Ücretsiz, üyelik gerekmez.
• URL çözücü: Percent-encoding ile kodlanmış URL’leri ve sorgu dizelerini okunur metne çözün. %20, %26 ve %C3%A7 gibi kodları anında normal karakterlere çevirin.
• Base64 kodlayıcı: Her türlü metni anında Base64’e kodlayın. Data URI, HTTP Basic Auth başlıkları, e-posta ve API’ler için kullanışlı. Ücretsiz çevrimiçi Base64 encoder.