TR

JWT çözücü: JSON Web Token’ı okuyun ve doğrulayın

JWT çözücü, bir JSON Web Token’ın içinde ne olduğunu gösterir: başlık, payload ve imza; ayrıca düzenleyen, süre sonu ve geçerlilik düz yazıyla. Gizli anahtarı veya açık anahtarı girerseniz imzayı bile doğrular. Token tarayıcınızdan çıkmaz.

Kaynak: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Güncelleme: .

Token’ı yapıştırın; önünde “Bearer ” olabilir. Noktalarla ayrılmış üç bölümden oluşur.

Metniniz tarayıcınızda kalır – gönderilmez, kaydedilmez ve adres çubuğuna eklenmez.

HS256/384/512: gizli anahtar metin olarak. RS/PS/ES: açık anahtar PEM (“BEGIN PUBLIC KEY”) veya JWK olarak. Anahtar tarayıcınızda kalır.
Yalnızca HS256/384/512 için: gizli anahtar doğrulamadan önce çözülür (üretilmiş anahtarlarda yaygındır). Aksi halde yazdığınız metin kullanılır.
AraçlarımGirdileriniz yalnızca bu tarayıcıda saklanır.

Sonuç

Durum
Geçerli JWT biçimi – algoritma HS256
İmza
Geçerli ✓ – imza girdiğiniz anahtarla uyuşuyor.
Başlık (header)
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Ayşe Yılmaz", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Zamanlar (UTC)
Düzenlenme (iat): 2018-01-18T01:30:22Z Süre sonu (exp): 2100-01-01T00:00:00Z – 73 yıl sonra
Bilinen talepler (claims)
Düzenleyen (iss): https://beispiel.example Konu (sub): 1234567890

Nasıl hesaplanır?

JSON Web Token (JWT), iki taraf arasında talepleri (claims) taşır – genellikle girişten sonra “bu kullanıcı oturum açtı” kanıtı olarak. Noktalarla ayrılmış üç bölümden oluşur: başlık.payload.imza (RFC 7519, RFC 7515).

JWT nasıl çözülür

  1. Token’ı üstteki alana yapıştırın (“Bearer” ile veya onsuz).
  2. Başlık ve payload hemen okunur JSON olarak görünür; altında süre sonu ve düzenleyen yer alır.
  3. İsteğe bağlı: anahtarı “Gizli veya açık anahtar” alanına girin, araç imzayı doğrular.

Token’ın içinde ne var

Önemli: okumak doğrulamak değildir

Başlık ve payload yalnızca base64url ile kodlanmıştır, şifreli değildir. Bir token’ı gören herkes okuyabilir – parolalar ve başka sırlar içine konmamalı. İmza denetlenmeden içerik hiçbir şeyi kanıtlamaz, çünkü herkes değiştirebilir. Buradaki doğrulama HMAC gizli anahtarıyla (HS256/384/512) ve açık anahtarla (RS, PS, ES) çalışır; alg: none olan token imzasızdır.

Algorithm confusion’a karşı koruma

Bilinen bir saldırı, sunucuya alg: HS256 olan ve açık anahtar gizli anahtar gibi kullanılarak imzalanmış bir token verir. Bu yüzden araç, HS gizli anahtarı yerine açık veya özel anahtar girildiğinde doğrulamayı reddeder (RFC 8725 algoritmayı asla yalnızca token’dan almamayı öğütler).

Sınırlar

Sıkça sorulan sorular

JWT nedir?

JSON Web Token, üç bölümden (başlık, payload, imza) oluşan, URL’de güvenle taşınabilen kısa bir dizedir. Kullanıcı kimliği veya süre sonu gibi talepleri taşır ve girişten sonra sıklıkla erişim kanıtı olarak kullanılır.

JWT’nin içeriğini herkes okuyabilir mi?

Evet. Başlık ve payload yalnızca base64url ile kodlanmıştır, şifreli değildir. İmza değiştirilmeye karşı korur, okunmaya karşı değil. Bu yüzden JWT’ye sır koymayın.

JWT imzası nasıl doğrulanır?

“Gizli veya açık anahtar” alanına HS256/384/512 için gizli anahtarı, RS256, PS256 veya ES256 için açık anahtarı PEM ya da JWK olarak girin. Sonuç “İmza” satırında görünür.

Token’ımı online bir çözücüye yapıştırmak güvenli mi?

Bu çözücü tamamen tarayıcınızda çalışır ve hiçbir şey göndermez. Yine de geçerli bir token erişim kanıtıdır. Mümkünse test token’ları veya süresi dolmuş token’lar kullanın.

exp, iat ve nbf ne anlama gelir?

exp token’ın süresinin dolduğu an, iat düzenlendiği an, nbf geçerli olmaya başladığı andır. Üçü de 1 Ocak 1970 UTC’den beri saniye cinsindendir.

Araç neden “doğrulanmadı” diyor?

Anahtar olmadan imzayı karşılaştıracak bir şey yoktur, içerik yalnızca okunur. Desteklenmeyen algoritmalar veya uygun olmayan anahtar biçimleri de doğrulamayı atlatır.

Kaynaklar ve yasal dayanak

Güncelleme: · Editoryal ilkeler

Benzer araçlar