DE

JWT-Decoder: JSON Web Token lesen und prüfen

Der JWT-Decoder zeigt, was in einem JSON Web Token steckt: Header, Payload und Signatur, dazu Aussteller, Ablaufzeit und Gültigkeit in Klartext. Wer das Secret oder den öffentlichen Schlüssel eingibt, kann sogar die Signatur prüfen. Das Token verlässt Ihren Browser nicht.

Quelle: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Stand: .

Das Token einfügen – auch mit „Bearer “ davor. Es besteht aus drei durch Punkte getrennten Teilen.

Ihr Text bleibt in Ihrem Browser – er wird nicht gesendet, nicht gespeichert und nicht in die Adresszeile geschrieben.

HS256/384/512: das Secret als Text. RS/PS/ES: öffentlicher Schlüssel als PEM („BEGIN PUBLIC KEY“) oder JWK. Der Schlüssel bleibt im Browser.
Nur für HS256/384/512: Das Secret wird vor der Prüfung dekodiert (üblich bei generierten Schlüsseln). Sonst zählt der eingegebene Text.
Meine ToolboxIhre Eingaben werden nur in diesem Browser gespeichert.

Ergebnis

Status
Gültiges JWT-Format – Algorithmus HS256
Signatur
Gültig ✓ – die Signatur passt zum eingegebenen Schlüssel.
Header
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Erika Mustermann", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Zeitangaben (UTC)
Ausgestellt (iat): 2018-01-18T01:30:22Z Läuft ab (exp): 2100-01-01T00:00:00Z – in 73 Jahren
Bekannte Angaben (Claims)
Aussteller (iss): https://beispiel.example Subjekt (sub): 1234567890

So wird gerechnet

Ein JSON Web Token (JWT) transportiert Angaben (Claims) zwischen zwei Parteien – typischerweise nach dem Login als Nachweis „dieser Nutzer ist angemeldet“. Es besteht aus drei durch Punkte getrennten Teilen: Header.Payload.Signatur (RFC 7519, RFC 7515).

JWT dekodieren – so geht's

  1. Token in das obere Feld einfügen (mit oder ohne „Bearer“).
  2. Header und Payload erscheinen sofort als lesbares JSON, darunter Ablaufzeit und Aussteller.
  3. Optional: unter „Secret oder öffentlicher Schlüssel“ den Schlüssel eintragen, dann prüft das Tool die Signatur.

Was im Token steht

Wichtig: Lesen ist nicht Prüfen

Header und Payload sind nur base64url-kodiert, nicht verschlüsselt. Jeder, der ein Token sieht, kann es lesen – Passwörter oder andere Geheimnisse gehören nicht hinein. Ohne Signaturprüfung beweist der Inhalt nichts, denn jeder kann ihn ändern. Die Prüfung hier funktioniert mit HMAC-Secret (HS256/384/512) und öffentlichem Schlüssel (RS, PS, ES); ein Token mit alg: none ist nicht signiert.

Schutz vor Algorithm Confusion

Ein bekannter Angriff gibt dem Server ein Token mit alg: HS256, signiert mit dem öffentlichen Schlüssel als Secret. Deshalb verweigert das Tool die Prüfung, wenn ein öffentlicher oder privater Schlüssel als HS-Secret eingegeben wird (RFC 8725 empfiehlt, den Algorithmus nie allein dem Token zu entnehmen).

Grenzen

Häufige Fragen

Was ist ein JWT?

Ein JSON Web Token ist ein kompakter, URL-sicherer String aus drei Teilen (Header, Payload, Signatur). Er transportiert Claims wie Nutzer-ID oder Ablaufzeit und wird häufig als Zugangsnachweis nach dem Login verwendet.

Kann jeder den Inhalt eines JWT lesen?

Ja. Header und Payload sind nur base64url-kodiert, nicht verschlüsselt. Nur die Signatur schützt vor Veränderung, nicht vor dem Lesen. Legen Sie deshalb keine Geheimnisse in ein JWT.

Wie prüfe ich die Signatur eines JWT?

Tragen Sie unter „Secret oder öffentlicher Schlüssel“ bei HS256/384/512 das Secret ein, bei RS256, PS256 oder ES256 den öffentlichen Schlüssel als PEM oder JWK. Das Ergebnis erscheint bei „Signatur“.

Ist es sicher, mein Token in einen Online-Decoder einzufügen?

Dieser Decoder arbeitet vollständig in Ihrem Browser und sendet nichts. Trotzdem gilt: Ein gültiges Token ist ein Zugangsnachweis. Nutzen Sie nach Möglichkeit Test-Tokens oder bereits abgelaufene.

Was bedeuten exp, iat und nbf?

exp ist der Zeitpunkt, ab dem das Token abgelaufen ist, iat der Zeitpunkt der Ausstellung und nbf der Zeitpunkt, ab dem es gültig ist. Alle drei sind Sekunden seit dem 1.1.1970 UTC.

Warum zeigt das Tool „nicht geprüft“?

Ohne Schlüssel gibt es nichts, womit sich die Signatur prüfen ließe. Der Inhalt wird dann nur gelesen. Auch bei nicht unterstützten Algorithmen oder unpassenden Schlüsselformaten bleibt die Prüfung aus.

Quellen und Rechtsgrundlagen

Stand: · So prüfen wir

Passende Werkzeuge