JWT-Decoder
Kostenloser Online-JWT-Decoder. Dekodieren Sie JSON Web Tokens sofort und zeigen Sie Header, Payload und Signatur an. Keine Registrierung.
Was ist ein JWT (JSON Web Token)?
JWT (JSON Web Token) ist ein offener Standard zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt. Es besteht aus drei Teilen: Header, Payload und Signature, getrennt durch Punkte. JWTs werden häufig für Authentifizierung und Informationsaustausch verwendet.
Wie funktioniert ein JWT-Decoder?
Ein JWT-Decoder teilt das Token an Punkten und dekodiert jeden Teil (Header und Payload) aus der Base64URL-Kodierung, um den JSON-Inhalt anzuzeigen. Die Signature bleibt kodiert, da sie zur Verifizierung verwendet wird. Zum Dekodieren eines JWT wird kein geheimer Schlüssel benötigt.
Ist das Dekodieren eines JWT sicher?
Ja, das Dekodieren eines JWT ist sicher. Es liest nur den Token-Inhalt ohne Verifizierung der Signatur. Speichern Sie jedoch niemals sensible Daten in JWT-Payloads, da jeder sie dekodieren kann. JWTs sind kodiert, nicht verschlüsselt.
Was sind die drei Teile eines JWT?
Ein JWT hat drei Teile: 1) Header - enthält Token-Typ und Signaturalgorithmus (z.B. HS256, RS256). 2) Payload - enthält Claims wie Benutzerdaten, Ablaufzeit (exp), Aussteller (iss) und Subjekt (sub). 3) Signature - verifiziert Token-Integrität und Authentizität.
Welche Algorithmen unterstützt JWT?
JWT unterstützt mehrere Algorithmen-Familien: HMAC (HS256, HS384, HS512) für symmetrische Signatur, RSA (RS256, RS384, RS512) für asymmetrische Signatur, ECDSA (ES256, ES384, ES512) und EdDSA. Der Algorithmus wird im Header angegeben.
Verifiziert dieses Tool JWT-Signaturen?
Nein, dieses Tool dekodiert nur das Token, um Header, Payload und Signature anzuzeigen. Die Signaturverifizierung erfordert den geheimen Schlüssel (für HMAC) oder den öffentlichen Schlüssel (für RSA/ECDSA). Dieses Tool dient dem Debugging und der Inspektion, nicht der Authentifizierung.
Was ist der Unterschied zwischen JWT und Session-Cookies?
JWTs sind zustandslos - alle Benutzerinformationen werden im Token selbst gespeichert, daher muss der Server keinen Session-Speicher pflegen. Session-Cookies erfordern serverseitigen Speicher. JWTs sind ideal für APIs und Microservices.
Kann ich ein dekodiertes JWT ändern?
Sie können ein JWT frei dekodieren und lesen, aber das Ändern von Payload oder Header macht die Signature ungültig. Ein manipuliertes JWT wird die Signaturverifizierung auf dem Server nicht bestehen. Dies macht JWTs manipulationssicher.
Was ist der Unterschied zwischen JWT-Kodierung und Verschlüsselung?
JWT-Kodierung (Base64URL) ist eine reversible Transformation, die das Token kompakt und URL-sicher macht. Sie bietet keine Vertraulichkeit. JWT-Verschlüsselung (JWE) fügt eine Verschlüsselungsebene hinzu, die den Payload-Inhalt schützt.
Wo werden JWTs häufig verwendet?
JWTs werden häufig verwendet in: Single-Sign-On (SSO) Systemen, OAuth 2.0 und OpenID Connect Protokollen, RESTful API-Authentifizierung, Microservice-zu-Service-Kommunikation und mobiler App-Authentifizierung.
Wie erkenne ich, ob ein JWT abgelaufen ist?
Überprüfen Sie den Payload-Abschnitt auf den "exp" (Expiration Time) Claim. Er enthält einen Unix-Zeitstempel, der angibt, wann das Token abläuft. Wenn die aktuelle Zeit nach dem exp-Wert liegt, ist das Token abgelaufen.
So verwenden Sie JWT-Decoder
Fügen Sie ein JSON Web Token ein, um Header, Payload und Signatur sofort zu dekodieren. Die Dekodierung erfolgt vollständig in Ihrem Browser — das Token wird nirgendwohin gesendet.
- Fügen Sie Ihr JWT — die lange, durch Punkte getrennte Zeichenkette, die mit eyJ beginnt — in das Eingabefeld ein.
- Lesen Sie den dekodierten Header, um Signaturalgorithmus (alg) und Tokentyp (typ) zu sehen.
- Prüfen Sie den Payload auf Claims wie sub, iss, exp und iat, die als formatiertes JSON angezeigt werden.
- Sehen Sie sich den Signaturteil an, um zu sehen, was der Server prüfen wird — allein das Dekodieren validiert das Token nicht.
Der Payload eines JWT ist nur kodiert, nicht verschlüsselt — jeder kann ihn lesen, legen Sie also niemals Geheimnisse hinein.
Verwandte Tools
- JWT-Generator Erstellen Sie signierte JSON Web Tokens mit eigenem Header, Payload und Schlüssel. Unterstützt HS256, RS256, ES256.
- Hash-Prüfer MD5, SHA-1, SHA-256, SHA-512 Datei-Hashes lokal berechnen und prüfen
- Chmod-Rechner Kostenloser Online-Chmod-Rechner zur Visualisierung und Berechnung von Linux-Dateiberechtigungen mit Kontrollkästchen. Sofortige Umwandlung zwischen numerischer (755, 644) und symbolischer Notation (rwxr-xr-x). Unterstützt Sonderberechtigungen wie setuid, setgid, sticky bit.
- ASCII-Tabelle Vollständige ASCII-Zeichencodierungsreferenz mit Dezimal-, Hexadezimal-, Oktal-, Binärcodes, HTML-Entities und Beschreibungen. Sofortige Suche und Filterung.
- Hex-Betrachter Zeigen Sie Dateiinhalte im Hex-Dump-Format mit Suche, Offset-Navigation und virtuellem Scrollen an
- HTTP-Anfrage-Tester Testen Sie REST-APIs direkt im Browser. Senden Sie GET-, POST-, PUT-, DELETE-Anfragen mit benutzerdefinierten Headern, Body und Parametern. Sehen Sie sofort Status, Header und JSON-Body.
- .htaccess-Generator Generieren Sie Apache .htaccess-Regeln für Weiterleitungen, Umschreibungen, Sicherheitsheader, Caching und mehr.
- Robots.txt Generator Kostenloser Online-robots.txt-Generator. Erstellen und passen Sie robots.txt-Dateien an, um das Crawling von Suchmaschinen zu steuern, Crawler-Zugriff zu verwalten und die SEO Ihrer Website zu optimieren.