JWT ver-/entschlüsseln
Decode · Sign · Verify · Lokale Sicherheit
JWT ver-/entschlüsseln
Bereit
ABOUT
Über JWT Decoder
Debuggen Sie die JWT-Authentifizierung: Header/Payload dekodieren, Testtokens lokal signieren, Signaturgültigkeit überprüfen.
401 Nicht autorisierte, ungültige Signatur, Token abgelaufen - JWT-Probleme machen einen erheblichen Anteil der API-Integrationstickets aus. Mit der lokalen Dekodierung und Überprüfung können Sie Ansprüche und Probleme mit der Algorithmuskonfiguration schnell finden, ohne die Sicherheit des Produktionsschlüssels zu beeinträchtigen.
DEEP DIVE
Erfahren Sie mehr über den JWT-Decoder
JWT (JSON Web Token) besteht aus Header, Payload und Signature – drei Base64URL-codierten Segmenten, die durch Punkte getrennt sind. Das JSONSort-JWT-Tool dekodiert die ersten beiden automatisch als JSON und unterstützt lokales Signieren und Verifizieren mit HS256/RS256 und anderen Algorithmen – Schlüssel und Token verlassen Ihren Browser nie.
OAuth 2.0, OpenID Connect und Microservice auth verwenden JWT weit verbreitet. Häufige Debugging-Probleme: abgelaufenes Token (EXP), Nichtübereinstimmung mit dem Aussteller, Fehler bei der Signaturüberprüfung, fehlende erwartete Ansprüche - lokale Tools helfen bei der schnellen Fehlerbehebung.
JWT-Header deklariert alg; Die Nutzlast enthält Zeitansprüche wie exp/iat/nbf. Durch die Dekodierung wird die Signatur nicht überprüft – jeder kann die Nutzdaten lesen – speichern Sie daher niemals Passwörter oder PII in JWT. Durch die Überprüfung wird bestätigt, dass der Token unverändert und vom Schlüsselinhaber signiert ist.
FEATURES
Kernfunktionen
Token-Dekodierung
Fügen Sie JWT ein, um Header und Payload automatisch als JSON formatiert zu dekodieren.
Lokales Signieren
Fill in payload und secret zu generate signed JWT für testing.
Signaturverifizierung
Überprüfen Sie die Gültigkeit der Token-Signatur. unterstützt HS256 und RS256.
Claims highlight
Standardansprüche wie exp, iat, sub werden in formatierter Ansicht angezeigt.
Schlüssel-Sicherheit
HMAC-Geheimnisse und private RSA-Schlüssel werden nur im lokalen JavaScript verwendet.
Instant feedback
Sofort erneut dekodieren/verifizieren, wenn sich Token oder Schlüssel ändern.
Drei-Spalten-Layout
Header/Payload/Signatur werden separat angezeigt – sind eindeutig der JWT-Struktur zugeordnet.
Ablauf-Indikator
Parse exp und compare mit current time—shows expiry status at a glance.
HOW TO USE
Gebrauchsanweisung
-
1
Fügen Sie das JWT-Token zur automatischen Dekodierung ein
-
2
Or fill in Payload und secret zu sign/überprüfen
-
3
Ergebnisse kopieren – Schlüssel verlassen niemals Ihren Browser
-
4
Bestätigen Sie, dass Geheimnis und Algorithmus (HS256/RS256) mit dem Aussteller übereinstimmen
-
5
Clear test secrets und tokens aus Eingabe nach debugging
WORKFLOW
Typischer Workflow
End-to-end workflow aus importieren zu exportieren, helping teams standardize JWT Decoder usage.
Paste Token
Copy JWT from Authorization header, Cookie, or logs.
Claims prüfen
Confirm sub, aud, exp, roles, etc. match expectations.
Verify (optional)
Enter secret oder PEM public key zu überprüfen Signature validity.
Sign Test Token
Modify Payload und sign lokally—for unit tests oder mock gateways.
USE CASES
Use-Cases
Backend developers
Debug auth middleware; verify signed token structure is correct.
Frontend developers
Parse roles/permissions claims in Access Token.
Sicherheit
Audit JWT for sensitive claims; verify signing algorithm compliance.
Full-stack integration
Inspect id_token and access_token contents during OIDC login flows.
Identity engineer
Debug claims differences between OIDC id_token and access_token.
Mobile
Parse refresh token structure stored in app (do not verify on production devices).
TIPS
Hinweise
- After pasting token, check exp first—most 401 issues sind caused by expiry.
- RS256 verification requires PEM-format public key; HS256 uses shared Secret string.
- Never verwenden online tools mit production keys—JSONSort lokal Verarbeitung ist die safer choice.
- When signing test tokens, avoid putting real user PII in payload.
- alg in Header muss match verification algorithm, otherwise verification fails.
- Decoded Payload kann be copied zu Formatter zu edit claims, then re-sign.
- Remove Bearer prefix—einfügen only die three-segment token starting mit eyJ.
- Clock skew: server/local time difference may cause freshly signed tokens zu appear expired.
- RS256 public Schlüssel in PEM format, einschließlich BEGIN PUBLIC KEY line.
- Clear lokalStorage session nach debugging zu avoid test token residue.
LOCAL VS ONLINE
Lokal vs online tools
JSONSort stays purely frontend—this comparison shows why lokal tools fit dev data better.
TROUBLESHOOTING
Häufige Fallstricke & Lösungen
Probleme, die in der Praxis auftreten können, und wie Sie damit umgehen—spart Zeit bei Trial-and-Error.
invalid signature
Tipp:Secret mismatch or alg inconsistency; confirm HS256 vs RS256.
token expired
Tipp:Überprüfen Sie EXP; Signieren Sie beim Debuggen Test-Token mit längerer ttl.
Malformed token
Conseil :Bestätigen Sie drei Segmente, die durch . getrennt sind, und Base64URL hat keinen zusätzlichen Leerraum.
Public key verification failed
Tipp:PEM format error; bestätigen JWKS public key matches iss.
FAQ
Häufige Fragen
Sind Schlüssel Uploaded?
No. Signing und verification run entirely in Browser Web Crypto / JS.
Wird RS256 unterstützt?
Unterstützt HS256 und RS256. ES256 und andere können später hinzugefügt werden.
Can I decode without a key?
Header- und Payload-Dekodierung ohne Schlüssel. Für die Signaturüberprüfung ist ein Schlüssel erforderlich.
Can expired tokens still be decoded?
Ja. Die Decodierung ist nicht durch EXP begrenzt; EXP wirkt sich nur darauf aus, ob der Server das Token akzeptiert.
Wird decoding equal identity verification?
Nein. Die Dekodierung liest nur Inhalte; Die Verifizierung bestätigt, dass das Token vertrauenswürdig ist.
Wird verschlüsseltes JWT (JWE) unterstützt?
Konzentriert sich derzeit auf JWS (signiert JWT). JWE erfordert spezielle Entschlüsselungstools.
Is data uploaded zu a server?
Nein. Alle JSONSort-Tools laufen lokal in Ihrem Browser - Ihre Eingabe wird niemals an ein Backend gesendet.
Do I need zu sign up oder install anything?
No. Open the page and go—kein Konto, kein Client-Download, PWA-Offline-Cache unterstützt.
How large kann files be?
Abhängig vom Browserspeicher; Multi-MB-Daten laufen in der Regel reibungslos. Teilen Sie sehr große Dateien oder verwenden Sie zuerst Merge & Clean.