JWT-Dekodierer
Decode and inspect JWT header, payload, and time claims with expiry status. Kostenlos, privat und 100% clientseitig.
Beispiel ausprobieren:
Lokales Dekodieren ist keine serverseitige Signaturverifikation.Local only
Letzte Verlauf
Noch kein Verlauf
Verwendung
- Paste the JWT into the input box.
- Read the decoded header and payload.
- Prüfen the time-claim status and expiry note.
Aufgaben mit diesem Tool
Dekodieren and inspect a JWT safely
Paste ein JSON Web Token, lesen its Header und claims, und prüfen expiry — während understanding exactly was Dekodierung macht und macht nicht prove. AUFGABE
Inspizieren ein JWT Token: dekodieren Header und Payload ohne verifying
Lesen der Struktur von ein JSON Web Token in see its Algorithmus, claims, und expiry — purely Client-side, kein Server validation. AUFGABE
Analysieren OAuth 2.0 token responses
OAuth 2.0 returns access_token, token_type, expires_in, und optionally refresh_token. Lernen in analysieren und verwenden der Token Antwort correctly. AUFGABE
Verwenden HTTP Basic Authentication
Basic Auth sends Anmeldedaten als Base64-encoded username:Passwort in der Authorization Header. Lernen der formatieren, Sicherheit requirements, und alternatives. AUFGABE
Verwenden Bearer tokens für API authentication
Bearer tokens sind sent in der Authorization Header: "Bearer <token>". Whoever holds der Token kann access der API — protect it wie ein Passwort. AUFGABE
Verwenden JWT mit RSA signatures (RS256)
RS256 signs JWTs mit RSA-SHA256, providing asymmetric verification wo nur der privat Schlüssel holder kann sign aber anyone mit der öffentlich Schlüssel kann verifizieren. AUFGABE
Pipelines mit diesem Tool
Häufige Fragen
- Does decoding a JWT verify its signature?
- No. Decoding only reads the payload. Signature verification requires the secret or public key and is not the same as trusting the token. Always verify server-side before trusting claims.
- How is expiry shown?
- The tool parses the exp, iat, and nbf claims and labels the token as EXPIRED, NOT YET VALID, or VALID (time claims). Timestamps are shown in ISO and local format.
- What JWT formats are accepted?
- Standard compact JWTs with three Base64URL segments separated by dots: header.payload.signature. JWE (encrypted) tokens are not supported.
- Why does the payload show unexpected claims?
- JWT payloads are Base64URL-decoded then JSON-parsed. If the issuer used custom claim names, they appear as-is. Registered claims (iss, sub, aud, exp, iat, nbf, jti) are not renamed.
- Is my JWT uploaded anywhere?
- No. Decoding happens entirely in your browser. However, JWTs often carry sensitive data — avoid pasting production tokens into any online tool you do not fully trust.
- What does 'Note: Local decoding is not server-side signature verification' mean?
- It reminds you that anyone can decode a JWT without the secret. Trusting claims requires verifying the signature with the issuer's secret or public key on a trusted server.
Verwandte Tools
JWT-Kodierer
Codieren JWT with HS256. Free, private, 100% client-side. Not for server-side verification. WERKZEUG
HMAC-Generator
Generate HMAC (Keyed-Hash Message Authentication Code) with SHA-1/256/512. Kostenlos, privat und 100% clientseitig. WERKZEUG
Base64-Dekodierer
Decode Base64 data back to readable text online. Kostenlos, privat und 100% clientseitig. WERKZEUG
Hash-Rechner
Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output. Kostenlos, privat und 100% clientseitig. WERKZEUG
JSON-Formatierer
Format, minify, or sort JSON online. Kostenlos, privat und 100% clientseitig. WERKZEUG