JWT Decoder
Ein kostenloser JWT Decoder für jedes JSON Web Token. Fügen Sie ein Token ein und Sie sehen Header, Payload und Signatur, jeden Standard-Claim erklärt und ob das Token abgelaufen ist. Die Dekodierung läuft vollständig in Ihrem Browser — das Token wird nirgendwohin gesendet.
JWT Decoder
Fügen Sie unten ein JSON Web Token ein. Es wird beim Tippen in Ihrem Browser dekodiert, und nichts wird übertragen oder gespeichert.
Fügen Sie oben ein Token ein, um es zu dekodieren.
Noch nichts dekodiert.
Das Token wird lokal mit JavaScript dekodiert. Es wird nie an einen Server gesendet, nie protokolliert und nie gespeichert — auch nicht im Browser-Speicher.
Die Standard-Claims, erklärt
Ein JSON Web Token packt drei Base64url-kodierte Teile in eine einzige Zeichenkette: einen Header, der die Signatur beschreibt, eine Payload mit Claims über Nutzer und Sitzung, und eine Signatur. Die ersten beiden sind kodiert, nicht verschlüsselt — wer das Token hat, kann sie lesen. Dieser Decoder zeigt genau, was darin steht.
Die wichtigsten Vorteile
Typische Anwendungsfälle
So verwenden Sie es
- 1.Token einfügen. Fügen Sie das vollständige Token mit beiden Punkten ein. Ein vorangestelltes „Bearer “ wird automatisch entfernt.
- 2.Status-Panel lesen. Es zeigt den Signatur-Algorithmus, die Key-ID falls vorhanden, und ob das Token abgelaufen ist.
- 3.Claims prüfen. Standard-Claims stehen vorn, Zeitstempel in echte Daten umgerechnet; eigene Claims folgen danach.
- 4.Kopieren, was Sie brauchen. Header und Payload haben je einen Kopierknopf, für ein Ticket oder einen Test.
Die Standard-Claims, erklärt
Die meisten Tokens tragen eine Handvoll registrierter Claims. Das sind die, die Sie am häufigsten sehen, und wofür jeder wirklich da ist.
Die wichtigsten Funktionen
- Dekodiert Header, Payload und Signatur getrennt
- Rechnet exp, nbf und iat in lesbare Daten und relative Zeiten um
- Markiert abgelaufene Tokens, noch nicht gültige Tokens und alg: none
- Erklärt jeden registrierten Claim neben seinem Wert
- Kopierknöpfe für dekodierten Header und Payload
- Funktioniert offline, sobald die Seite geladen ist
- Kein Konto, kein Upload, keine Speicherung
Dekodieren ist nicht Verifizieren
Das ist das Wichtigste, was man über jeden JWT Decoder verstehen muss, auch über diesen. Dekodieren liest das Base64url und zeigt das JSON. Es beweist nichts darüber, ob das Token echt ist. Jeder kann ein Token basteln, in dem "role":"admin" steht, und es wird hier einwandfrei dekodiert.
Nur die Prüfung der Signatur mit dem Schlüssel des Ausstellers beweist, dass ein Token authentisch ist, und die gehört auf Ihren Server, nie in einen Browser-Tab. Behandeln Sie das Gezeigte als Debug-Anzeige, nicht als Beweis. Und weil die Payload bloß kodiert ist, gehört nie etwas Geheimes hinein — ein JWT ist für jeden lesbar, der es hat. Die lange Fassung — die Claims hinter den meisten 401, Algorithmus-Verwirrung und warum ein JWT nicht widerrufen werden kann — steht in unserem Leitfaden zum Dekodieren und Debuggen von JSON Web Tokens.
Häufige Fragen
Was ist ein JWT?⌄
Ein JSON Web Token ist eine kompakte, URL-sichere Zeichenkette aus drei Base64url-kodierten Teilen, getrennt durch Punkte: ein Header mit dem Signatur-Algorithmus, eine Payload mit Claims und eine Signatur. Am häufigsten dient es nach einem Login als Access-Token oder Identity-Token.
Ist es sicher, ein JWT hier zu dekodieren?⌄
Die Dekodierung passiert vollständig in Ihrem Browser mit JavaScript. Das Token wird nie an unsere Server gesendet, nie protokolliert und nie in den Browser-Speicher geschrieben. Dennoch ist ein Token bis zum Ablauf eine gültige Zugangsberechtigung — behandeln Sie es überall wie ein Passwort.
Wird die Signatur verifiziert?⌄
Nein, und kein Browser-Tool sollte das tun. Verifizieren braucht den geheimen oder öffentlichen Schlüssel des Ausstellers, der auf Ihren Server gehört. Dekodieren zeigt nur, was im Token steht; es kann nicht sagen, ob es echt oder manipuliert ist.
Warum wird mein Token als abgelaufen angezeigt?⌄
Der exp-Claim ist ein Unix-Zeitstempel in Sekunden, und ab diesem Moment ist das Token ungültig. Das Status-Panel rechnet ihn in ein echtes Datum um und sagt, wie lange er zurück liegt. Eine häufige Ursache für überraschten Ablauf ist eine falsch laufende Serveruhr.
Kann ich ein Token ohne das Secret dekodieren?⌄
Ja. Header und Payload sind kodiert, nicht verschlüsselt, also für jeden lesbar, der das Token hat. Das Secret braucht man nur, um die Signatur zu prüfen, nicht um den Inhalt zu lesen — genau deshalb dürfen nie sensible Daten in eine Payload.