So dekodieren Sie ein JWT
- Fügen Sie das Token ein (ein vorangestelltes
Bearerwird automatisch entfernt). - Lesen Sie Header und Payload als formatiertes JSON und prüfen Sie in der Claims-Tabelle Ablauf- und Ausstellungsdatum.
- Öffnen Sie optional Signatur prüfen und geben Sie das HMAC-Secret oder den öffentlichen Schlüssel im PEM-Format ein.
So ist ein JWT aufgebaut
Ein JSON Web Token besteht aus drei Base64URL-kodierten Teilen, die durch Punkte getrennt sind: header.payload.signature. Der Header nennt den Signaturalgorithmus (zum Beispiel HS256 oder RS256), die Payload enthält die Claims, und die Signatur belegt, dass die ersten beiden Teile nicht verändert wurden.
Registrierte Claims
iss– wer das Token ausgestellt hatsub– der Benutzer bzw. das Subjektaud– die vorgesehenen Empfängerexp,nbf,iat– Ablaufzeit, Gültigkeitsbeginn und Ausstellungszeit als Unix-Zeitstempeljti– eine eindeutige Token-ID
Häufig gestellte Fragen
Ist es sicher, mein Token hier einzufügen?
Das Token wird in Ihrem Browser dekodiert und nirgendwohin gesendet. Behandeln Sie gültige Tokens trotzdem wie Passwörter und geben Sie sie nicht weiter.
Kann jeder die Payload eines JWT lesen?
Ja. Ein signiertes JWT ist nur Base64URL-kodiert, nicht verschlüsselt – legen Sie also niemals Geheimnisse in der Payload ab. Nur verschlüsselte Tokens (JWE) verbergen ihren Inhalt.
Warum wird die Signatur nicht automatisch geprüft?
Für die Prüfung wird das Secret oder der öffentliche Schlüssel des Ausstellers benötigt. Geben Sie den Schlüssel unter „Signatur prüfen“ ein; unterstützt werden HS-, RS-, PS- und ES-Algorithmen.