JWT Decoder
Dekodieren Sie Header und Payload eines JWT-Tokens und prüfen Sie Claims, Algorithmus und Gültigkeitsdauer.
Die gesamte Verarbeitung erfolgt in Ihrem Browser. Ihre Token-Daten werden nicht an einen Server gesendet.
JWT-Token eingeben
Fügen Sie das zu dekodierende JSON Web Token in das untenstehende Feld ein.
Header
Base64UrlPayload
ClaimsSignature
Nicht verifiziertJWT-Claim-Informationen
Im Payload enthaltene Felder und Beschreibungen der Standard-Claims.
| Claim | Wert | Beschreibung |
|---|---|---|
| Sobald das JWT dekodiert wurde, werden die Claim-Informationen hier angezeigt. | ||
Funktionen des JWT Decoders
Alle Funktionen, die Sie zum Prüfen der JWT-Token-Struktur, zum Lesen von Claim-Werten und zur Auswertung von Zeitangaben benötigen, finden Sie auf einer Seite.
JWT-Header-Dekodierung
Zeigt Header-Angaben wie den vom Token verwendeten Algorithmus, den Token-Typ und – falls vorhanden – die Key ID an.
JWT-Payload-Dekodierung
Zeigt die Standard- und benutzerdefinierten Claim-Werte im Payload als lesbares JSON an.
Laufzeitprüfung
Wandelt die Unix-Timestamp-Werte exp, nbf und iat in lesbare Datumsangaben um.
Claim-Beschreibungen
Erläutert die Bedeutung von Standard-Claim-Feldern wie Issuer, Subject, Audience, Expiration und JWT ID.
Schnelles Kopieren
Kopiert den dekodierten Header, den Payload oder den ursprünglichen Token-Wert mit einem Klick in die Zwischenablage.
Sichere Verarbeitung im Browser
Die JWT-Dekodierung erfolgt auf Ihrem Gerät, Ihr Token-Inhalt wird nicht an einen Server gesendet.
Was ist der JWT Decoder?
Der JWT Decoder ist ein Online-Entwicklertool, das Header und Payload eines Tokens im JSON-Web-Token-Format aus Base64Url dekodiert und in lesbare JSON-Daten umwandelt.
JWT-Tokens werden häufig für Authentifizierung, Autorisierung, Benutzersitzungen, API-Zugriffe und den sicheren Informationsaustausch zwischen Systemen verwendet. Informationen wie Benutzeridentität, Rollen, Berechtigungen, ausstellendes System und Gültigkeitsdauer können als Claim-Felder im Token übertragen werden.
JWT-Inhalte müssen nicht verschlüsselt sein. Header und Payload standardmäßig signierter JWT-Tokens sind mit Base64Url kodiert und können von jedem dekodiert werden, der das Token erhält. Deshalb sollten sensible Informationen wie Passwörter, Kreditkartendaten oder vertrauliche personenbezogene Daten nicht im JWT-Payload übertragen werden.
Wie verwendet man den JWT Decoder?
Gehen Sie wie folgt vor, um den Inhalt eines JWT-Tokens zu dekodieren.
JWT-Token einfügen
Fügen Sie den zu dekodierenden Token-Wert in das Eingabefeld ein.
Token dekodieren
Klicken Sie auf die Schaltfläche „JWT dekodieren“, um Header und Payload anzuzeigen.
Claim-Informationen prüfen
Prüfen Sie Issuer, Audience, Subject, Rollen und benutzerdefinierte Felder.
Ablaufstatus prüfen
Prüfen Sie, ob das Token abgelaufen ist, und kontrollieren Sie das Startdatum.
Aus welchen Abschnitten besteht ein JWT-Token?
Ein standardmäßig signiertes JWT-Token besteht aus drei durch Punkte getrennten Hauptabschnitten.
HEADER.PAYLOAD.SIGNATUREToken-Informationen
Gibt den Signaturalgorithmus und den Token-Typ an. Enthält in der Regel die Felder alg und typ.
Claim-Informationen
Enthält Standard- oder anwendungsspezifische Claim-Werte wie Benutzer, Berechtigungen, Issuer, Audience und Laufzeit.
Integritätsprüfung
Der kryptografische Signaturteil, der sicherstellt, dass Header und Payload nicht verändert wurden.
Gängige JWT-Claim-Felder
Nachfolgend werden die gängigen registrierten Claim-Felder im JWT-Payload beschrieben.
| Claim | Name | Beschreibung |
|---|---|---|
iss |
Issuer | Bezeichnet das System oder den Autorisierungsserver, das bzw. der das Token erstellt hat. |
sub |
Subject | Bezeichnet den Benutzer oder die Ressource, die das Token repräsentiert. |
aud |
Audience | Bezeichnet die Anwendungen oder Dienste, die das Token akzeptieren sollen. |
exp |
Expiration Time | Gibt an, nach welchem Unix-Timestamp-Wert das Token ungültig wird. |
nbf |
Not Before | Gibt den Zeitpunkt an, vor dem das Token nicht akzeptiert werden darf. |
iat |
Issued At | Gibt den Erstellungszeitpunkt des Tokens als Unix-Timestamp an. |
jti |
JWT ID | Stellt eine eindeutige Kennung für das Token bereit. |
Was ist der Unterschied zwischen JWT-Dekodierung und JWT-Verifizierung?
Das Anzeigen des JWT-Inhalts und die Überprüfung der Vertrauenswürdigkeit des Tokens sind zwei verschiedene Vorgänge.
| Merkmal | JWT Decoder | JWT Verification |
|---|---|---|
| Hauptzweck | Anzeigen von Header- und Payload-Inhalt | Prüfen von Signatur und Vertrauenswürdigkeit des Tokens |
| Ist ein geheimer Schlüssel erforderlich? | Nein | Je nach Algorithmus ist ein Schlüssel oder Public Key erforderlich |
| Claim-Anzeige | ✔ Unterstützt | ✔ Unterstützt |
| Signaturprüfung | ✘ Nicht enthalten | ✔ Enthalten |
| Kann es für die Autorisierung verwendet werden? | Allein nicht verwendbar | Mit allen erforderlichen Sicherheitsprüfungen verwendbar |
iss, aud, exp und nbf serverseitig mit einer vertrauenswürdigen JWT-Bibliothek durchgeführt werden.
Wo wird der JWT Decoder eingesetzt?
JWT-Dekodierungstools werden zur Prüfung von Token-Inhalten bei Authentifizierung, API-Entwicklung, Integration und Fehlersuche eingesetzt.
API-Fehlersuche
Prüfen Sie die Benutzer-, Rollen- und Berechtigungs-Claims im Access Token einer API-Anfrage.
Prüfung der Token-Laufzeit
Prüfen Sie über den exp-Claim, ob ein Access Token oder ID Token abgelaufen ist.
OAuth und OpenID Connect
Sehen Sie sich den Claim-Inhalt von Tokens im JWT-Format an, die in OAuth-2.0- und OpenID-Connect-Abläufen erzeugt werden.
Prüfung von Rollen und Berechtigungen
Prüfen Sie, ob anwendungsspezifische Role-, Permission- oder Scope-Claims korrekt im Token enthalten sind.
Prüfung von Issuer und Audience
Prüfen Sie das System, das das Token erstellt hat, sowie die API oder Anwendung, für die das Token bestimmt ist.
Integrationstests
Prüfen Sie, ob die erwarteten Claims im Token-Erzeugungsprozess zwischen Identity Provider und Anwendung übermittelt werden.
Häufig gestellte Fragen zum JWT Decoder
Lesen Sie die Antworten auf häufig gestellte Fragen zu JWT-Dekodierung, Claim-Feldern, Token-Laufzeit und Signaturprüfung.
Wofür wird der JWT Decoder verwendet?
Ist das Dekodieren eines JWT-Tokens sicher?
Prüft der JWT Decoder die Signatur des Tokens?
Ist ein JWT-Token verschlüsselt?
Kann der Inhalt eines JWT verändert werden?
Woran erkenne ich, dass ein JWT-Token abgelaufen ist?
exp-Claim im Payload gibt den Ablaufzeitpunkt des Tokens als Unix-Timestamp an. Liegt dieser Wert vor der aktuellen Zeit, ist das Token abgelaufen.
Was bedeuten exp, iat und nbf in einem JWT?
exp gibt den Ablaufzeitpunkt des Tokens an, iat den Erstellungszeitpunkt und nbf den Zeitpunkt, vor dem das Token nicht verwendet werden darf.
Dürfen sensible Daten im JWT-Payload gespeichert werden?
Warum lässt sich ein ungültiges JWT-Token nicht dekodieren?
Was ist der Unterschied zwischen JWT und JWE?
Ist der JWT Decoder kostenlos?
Kostenlose Entwickler-Tools
Kostenlose Online-Tools für Softwareentwicklung, API-Integration, Datenkonvertierung, Tests und produktives Arbeiten.