JWT-Decoder — Claims lesen und Signatur prüfen

Was der JWT-Decoder macht

Der JWT-Decoder teilt ein JSON Web Token in seine drei durch Punkte getrennten Segmente auf, dekodiert Header und Payload per Base64url und gibt diese JSON-Objekte übersichtlich formatiert aus. Das ist hilfreich beim Debuggen von Login-Abläufen, API-Autorisierungs-Headern, OAuth-Callbacks, Refresh-Verhalten und Tests, die von Claims wie Subject, Issuer, Audience, Ausstellungszeit und Ablaufzeit abhängen. Jeder Claim wird in einer Tabelle mit seiner Standardbedeutung aufgelistet, und Zeit-Claims werden für Sie umgerechnet.

Das Tool kann auch die Signatur prüfen. HMAC-Tokens (HS256, HS384, HS512) benötigen das gemeinsame Geheimnis, das Sie als Klartext oder Base64 einfügen können. Asymmetrische Tokens (RS256, PS256, ES256, deren 384/512-Varianten und EdDSA) benötigen den öffentlichen Schlüssel des Ausstellers als PEM-Block PUBLIC KEY oder als einzelnes JWK vom JWKS-Endpunkt des Anbieters. Ein grünes Ergebnis bedeutet, dass das Token mit diesem Schlüssel signiert und nicht verändert wurde; ein rotes Ergebnis bedeutet, dass der Schlüssel falsch ist oder das Token manipuliert wurde. Tokens mit alg: none werden als unsigniert markiert.

Privater Workflow im Browser

Die gesamte Verarbeitung erfolgt mit JavaScript und der Web Crypto API im Browser. Das Tool lädt Ihre Tokens, Geheimnisse, Schlüssel, URLs oder erzeugten Werte nicht auf einen Server hoch und benötigt kein Konto. Dieses Datenschutzmodell ist wichtig, weil kleine Hilfsprogramme bei der Fehlersuche oft echte API-Antworten, Konfigurationsbeispiele, Logs, Authentifizierungsdaten oder kundennahe Beispiele erhalten. Lokales Arbeiten verringert das Risiko und fühlt sich außerdem sofort an, weil keine Netzwerk-Roundtrips nötig sind.

Die dekodierte Ausgabe lesen

Standard-Claims, die Ihnen oft begegnen, sind iss (Aussteller), sub (Subject), aud (Audience), exp (Ablauf), nbf (nicht vor) und iat (ausgestellt am). Die Zeit-Claims sind Unix-Zeitstempel in Sekunden; die Claim-Tabelle zeigt jeden als ISO-8601-UTC-Datum plus relative Zeit wie „in 2 Stunden“ oder „vor 3 Tagen“, und die Statuszeile verrät auf einen Blick, ob das Token gültig, abgelaufen oder noch nicht gültig ist.

Der Decoder erwartet genau drei durch Punkte getrennte Segmente; alles andere führt zu einem Dekodierfehler. Verschlüsselte Tokens (JWE) haben fünf Segmente und lassen sich ohne den Schlüssel nicht lesen, und auch ein Segment, das kein gültiges Base64url-JSON ist, schlägt fehl. Eine gültige Signatur beweist, wer das Token ausgestellt hat, doch Ihre Anwendung muss weiterhin Aussteller, Audience und Ablauf prüfen. Behandeln Sie aktive Tokens wie Passwörter: Auch wenn hier nichts Ihren Browser verlässt, sollten Sie keine Produktions-Tokens in Tools einfügen, denen Sie nicht vertrauen, und dekodierte Ausgaben nicht öffentlich teilen.