Demo-Token decodieren
Eingabe Der vorausgefüllte Token, exp = 1700003600.
Ergebnis Algorithmus HS256, Typ JWT, vier Claims, Ablauf 2023-11-14 23:13:20 UTC.
JWT-Decoder
Developer ToolsJSON Web Token einfügen und Header, Payload und genaue Ablaufzeit lesen, lokal entschlüsselt, ohne das Token zu übertragen.
Deine Eingaben
Ergebnis
Status
—
- Läuft ab —
- Algorithmus —
- Token-Typ —
- Nutzlast —
- Header —
Jede Eingabe ändert das Ergebnis sofort.
Formel und Regeln
- Ein JWT besteht aus drei Base64URL-Teilen, die durch Punkte getrennt sind: Header, Payload und Signatur.
- Base64URL ersetzt + durch - und / durch _ und lässt das =-Padding weg, damit Tokens in URLs und HTTP-Headern funktionieren.
- Der exp-Claim ist ein Unix-Zeitstempel in Sekunden, daher ist ein Token abgelaufen, sobald die aktuelle Zeit diese Zahl überschreitet.
- Beim Dekodieren werden nur die beiden JSON-Teile gelesen; die Signatur wird nie geprüft, die der Server verifizieren muss.
Rechenbeispiele
Ein Token ohne exp
Eingabe Ein Payload von {"sub":"42","scope":"read"}.
Ergebnis Der Status gibt an, dass das Token keinen Ablaufanspruch hat, sodass es nie von selbst verfällt.
Ein gekürztes Token
Eingabe abc.def
Ergebnis Ein Fehler erklärt, dass ein JWT aus drei Teilen bestehen muss, bevor etwas dekodiert werden kann.
Häufige Fragen
Beweist die Dekodierung, dass das Token echt ist?
Nein. Jeder kann ein Token mit beliebigem Inhalt erstellen. Nur ein Server, der die Signatur mit dem geheimen Schlüssel oder dem öffentlichen Schlüssel prüft, kann feststellen, ob ein Token von Ihnen ausgestellt wurde.
Ist es sicher, ein Produktions-Token einzufügen?
Die Dekodierung erfolgt in Ihrem Browser, daher wird das Token nicht hochgeladen. Behandeln Sie es dennoch wie ein Passwort: Bevorzugen Sie ein Test-Token und wechseln Sie alles, was Sie in einen geteilten Bildschirm einfügen.
Warum ist ein frisches Token bereits abgelaufen?
Entweder geht die Uhr des Ausstellers nach, oder es wurde ein exp-Wert in Millisekunden übergeben, wo Sekunden erwartet werden. Dieses Tool liest exp als Sekunden, entsprechend der JWT-Spezifikation.
Was ist, wenn der Header oder die Nutzlast kein JSON ist?
Der Decoder meldet einen Fehler. Die JWT-Spezifikation verlangt, dass beide Teile base64url-kodierte JSON-Objekte sind. Ein Nicht-JSON-Teil bedeutet daher meist, dass die Zeichenfolge gar kein JWT ist.
Haftungsausschluss: Die Ergebnisse folgen der auf dieser Seite gezeigten Formel und dienen nur als Orientierung. Reale Mengen hängen von Material, Technik und Bedingungen ab – plane vor der Bestellung einen Puffer ein.