Декодер JWT — перевірка підпису та терміну дії

Що робить Декодер JWT

Декодер JWT розбиває JSON Web Token на три сегменти, розділені крапками, декодує заголовок і payload із base64url та виводить ці JSON-об'єкти з відступами. Він корисний під час налагодження потоків входу, заголовків авторизації API, зворотних викликів OAuth, поведінки оновлення токенів і тестів, що залежать від claim-ів, як-от subject, issuer, audience, час видачі та час завершення дії. Кожен claim показано в таблиці з його стандартним значенням, а claim-и часу перетворюються автоматично.

Інструмент також може перевіряти підпис. Токени HMAC (HS256, HS384, HS512) потребують спільного секрету, який можна вставити як звичайний текст або Base64. Асиметричні токени (RS256, PS256, ES256, їхні варіанти 384/512 та EdDSA) потребують відкритого ключа видавця у вигляді блоку PEM PUBLIC KEY або одного JWK з кінцевої точки JWKS вашого провайдера. Зелений результат означає, що токен підписано цим ключем і його не змінювали; червоний — що ключ неправильний або токен підроблено. Токени з alg: none позначаються як непідписані.

Приватний робочий процес у браузері

Уся обробка відбувається за допомогою JavaScript і Web Crypto API у браузері. Інструмент не завантажує на сервер ваші токени, секрети, ключі, URL-адреси чи згенеровані значення та не вимагає акаунта. Така модель приватності важлива, адже невеликі утиліти під час усунення несправностей часто отримують реальні відповіді API, зразки конфігурацій, журнали, дані автентифікації або приклади, схожі на дані клієнтів. Локальна робота знижує ризик і робить інструмент миттєвим, бо немає жодного мережевого обміну.

Як читати декодований результат

Стандартні claim-и, які ви часто бачитимете: iss (видавець), sub (суб'єкт), aud (аудиторія), exp (завершення дії), nbf (не раніше) та iat (час видачі). Claim-и часу — це мітки часу Unix у секундах; таблиця claim-ів показує кожен із них як дату ISO 8601 у UTC разом із відносним часом, наприклад «через 2 години» чи «3 дні тому», а рядок стану одразу повідомляє, чи токен дійсний, прострочений або ще не набув чинності.

Декодер очікує рівно три сегменти, розділені крапками; будь-що інше призводить до помилки декодування. Зашифровані токени (JWE) мають п'ять сегментів і не можуть бути прочитані без ключа, а сегмент, що не є коректним JSON у base64url, також спричинить помилку. Дійсний підпис доводить, хто видав токен, але ваш застосунок усе одно має перевіряти issuer, audience і термін дії. Ставтеся до робочих токенів як до паролів: хоча тут нічого не залишає ваш браузер, не вставляйте продакшн-токени в інструменти, яким не довіряєте, і не публікуйте декодований результат.