JWT-Decoder
Dekodieren Sie ein JSON Web Token und lesen Sie Header, Payload und Claims im lesbaren Format, inklusive sofortiger Prüfung, ob das Token abgelaufen ist. Die
Fügen Sie ein JSON Web Token ein und lesen Sie seine drei Teile in lesbarer Form: den Header mit dem Signaturalgorithmus, die Payload mit den Claims und die menschenlesbaren Zeitstempel für Ausstellung, frühesten Gültigkeitsbeginn und Ablauf. Das Tool sagt Ihnen sofort, ob das Token abgelaufen ist und wann es abläuft.
Das ist der tägliche Debugging-Schritt, wenn eine API 401 zurückgibt und Sie wissen müssen, ob das Problem die Signatur, die Zielgruppe oder schlicht ein abgelaufenes Token ist. Alles wird in Ihrem Browser dekodiert, Produktions-Tokens werden also nirgendwohin gesendet.
So dekodieren Sie ein JSON Web Token
Fügen Sie das Token ein
Lesen Sie Header, Payload und Ablaufzeitpunkt
Kopieren Sie die Payload als JSON, wenn Sie sie brauchen
Häufige Fragen
Wird die Signatur geprüft?
Nein – und das ist wichtig. Das Dekodieren entfernt nur die Base64url-Kodierung der Teile, der Inhalt ist also lesbar, aber nicht als echt nachgewiesen. Behandeln Sie ein dekodiertes Token nie als vertrauenswürdig, solange Ihr Server die Signatur nicht geprüft hat.
Woran erkenne ich, ob das Token abgelaufen ist?
Der Claim exp ist ein Unix-Zeitstempel in Sekunden; das Tool vergleicht ihn mit der aktuellen Zeit und zeigt das Datum sowie an, ob das Token noch gültig ist.
Worin unterscheiden sich exp, iat und nbf?
iat ist der Zeitpunkt der Ausstellung, nbf der früheste Zeitpunkt, ab dem das Token verwendet werden darf, und exp der Zeitpunkt, ab dem es nicht mehr gültig ist. Ein Token ist nur zwischen nbf und exp akzeptabel.
Ist es sicher, hier ein echtes Token einzufügen?
Das Dekodieren findet vollständig in Ihrem Browser statt, das Token wird also nicht übertragen. Behandeln Sie jedes Token trotzdem als Zugangsdaten: Fügen Sie keines in eine Website ein, der Sie nicht vertrauen, und erneuern Sie es, wenn es möglicherweise preisgegeben wurde.
Warum zeigt mein Token einen Fehler?
Ein JWT hat genau drei durch Punkte getrennte Teile. Ein fehlender Teil, ein Zeilenumbruch in der Mitte oder ein Token, das eigentlich eine undurchsichtige Sitzungs-ID ist, werden alle als kein JWT gemeldet.
Wird mein Token hochgeladen?
Nein, das Dekodieren läuft lokal.
Auf einen Blick
| Eingabe | Text |
|---|---|
| Mehrere Dateien | Nein |
| Läuft wo | In Ihrem Browser – Dateien werden nie hochgeladen |
| Funktioniert offline | Ja — sobald die Seite geladen ist |
| Preis | Kostenlos, keine Anmeldung, kein Wasserzeichen |
Geheimnisse sicher behandeln
Entwicklerwerkzeuge verarbeiten öfter Zugangsdaten, als den Leuten bewusst ist, und das Risiko liegt nicht im Algorithmus, sondern darin, wohin die Daten gehen. Hashing ist einweg und keine Verschlüsselung – MD5 und SHA-1 sind für alles Sicherheitsrelevante gebrochen, und selbst SHA-256 ist das falsche Werkzeug zum Speichern von Passwörtern, wofür bcrypt, scrypt oder Argon2 genau deshalb existieren, weil sie langsam sind. Base64 ist eine Kodierung, kein Schutz: Jeder kann sie dekodieren, behandeln Sie sie also nie als Verschleierung. Ein JWT kann von jedem gelesen werden, der es besitzt, weshalb die Nutzlast niemals Geheimnisse enthalten darf, und das Dekodieren eines Tokens prüft nicht seine Signatur – die Prüfung erfordert den Schlüssel. Alles auf dieser Seite läuft lokal in Ihrem Browser, und genau deshalb kann sie überhaupt sicher mit Tokens und Passwörtern umgehen.
Wo Konvertierungen stillschweigend kaputtgehen
Die meisten Konvertierungsfehler drehen sich nicht um Syntax, sondern um Bedeutung. Eine CSV-Spalte mit Postleitzahlen verliert ihre führenden Nullen in dem Moment, in dem eine Tabellenkalkulation sie für eine Zahl hält; eine lange ID überschreitet die Gleitkommapräzision; Datumsangaben ändern ihre Bedeutung, je nachdem, ob der Tag oder der Monat zuerst kommt. JSON-Schlüssel sind ungeordnet, Arrays aber nicht, und ein Werkzeug, das Schlüssel sortiert, ändert nichts, während eines, das Arrays sortiert, die Daten verändert. Unicode ist eine weitere Falle: Text kann als UTF-8, als UTF-16 oder mit BOM ankommen, und ein Decoder, der falsch rät, macht aus akzentuierten Zeichen Mojibake. Bevor Sie einer Konvertierung trauen, prüfen Sie stichprobenartig die erste und letzte Zeile, jedes Feld mit führenden Nullen und jedes Feld mit Anführungszeichen, Kommas oder Zeilenumbrüchen.