JWT dekodieren
Sieh, was in einem JSON Web Token steckt und ob es abgelaufen ist.
Ein „Bearer “-Präfix, Anführungszeichen und Zeilenumbrüche werden automatisch entfernt
Weiter: Base64 kodieren / dekodieren · Unix-Timestamp-Konverter
Problem mit diesem Tool melden
So verwendest du JWT-Decoder
Token einfügen
Füge ein JWT ein. Ein „Bearer “-Präfix, Anführungszeichen und Zeilenumbrüche werden automatisch entfernt.
Die Teile lesen
Header, Payload und Signatur sind farbig markiert, Header und Payload werden als sauberes JSON angezeigt.
Claims prüfen
Standard-Claims werden erklärt, Zeiten als Datum angezeigt, und ein Abzeichen zeigt, ob das Token noch gültig ist.
Warum Utils365?
Ablauf auf einen Blick
Sieh „Abgelaufen vor 2 Stunden“ oder „läuft in 3 Tagen ab“, statt exp und iat von Hand auszurechnen.
Claims in klaren Worten
iss, sub, aud, exp, nbf, iat und jti werden einzeln erklärt, damit du weißt, was das Token über seinen Nutzer aussagt.
Klare Fehlermeldungen
Ist ein Token abgeschnitten oder beschädigt, erfährst du, welcher Teil fehlerhaft ist. Verschlüsselte Tokens werden ebenfalls erkannt.
Privat durch Design
Das Dekodieren passiert in deinem Browser. Das eingefügte Token wird nie an uns oder sonst jemanden gesendet.
Häufig gestellte Fragen
Was ist ein JWT?
Ein JSON Web Token ist ein kompaktes, signiertes Stück Text, mit dem Apps sagen, wer du bist, oft gesendet als „Authorization: Bearer …“. Es hat drei durch Punkte getrennte Teile: einen Header, eine Payload mit Claims und eine Signatur.
Ist ein JWT verschlüsselt?
Meist nicht. Header und Payload sind nur Base64URL-kodiert, jeder mit dem Token kann sie also lesen. Lege niemals Passwörter oder Geheimnisse in die Payload eines JWT.
Prüft das Tool die Signatur?
Nein. Es dekodiert das Token, damit du es lesen kannst. Für die Signaturprüfung braucht man das Secret oder den öffentlichen Schlüssel, und sie sollte auf dem Server erfolgen, der das Token annimmt.
Ist es sicher, ein Token hier einzufügen?
Das Dekodieren passiert komplett in deinem Browser, nichts wird hochgeladen. Behandle ein aktives Token trotzdem wie ein Passwort: Füge Produktions-Tokens nirgendwo ein, wenn du sie nicht widerrufen oder austauschen kannst.
Woran erkenne ich, wann ein JWT abläuft?
Am exp-Claim. Das ist ein Unix-Timestamp in Sekunden, den dieses Tool als Datum anzeigt, zusammen mit der verbleibenden Zeit oder wie lange es schon abgelaufen ist.
Warum hat mein Token fünf Teile?
Das ist ein verschlüsseltes Token (JWE). Sein Inhalt lässt sich nur mit dem Schlüssel lesen, für den es verschlüsselt wurde, daher kann es hier nicht dekodiert werden.