Jak zdekodować token JWT
- Wklej token (prefiks
Bearerna początku zostanie usunięty automatycznie). - Przeczytaj zdekodowany nagłówek i payload w postaci sformatowanego JSON-a, a w tabeli oświadczeń sprawdź daty wygaśnięcia i wystawienia.
- Opcjonalnie otwórz sekcję Zweryfikuj podpis i wpisz sekret HMAC lub klucz publiczny w formacie PEM.
Jak zbudowany jest token JWT
JSON Web Token składa się z trzech części zakodowanych w Base64URL i oddzielonych kropkami: header.payload.signature. Nagłówek określa algorytm podpisu (np. HS256 lub RS256), ładunek (payload) zawiera oświadczenia (claims), a podpis potwierdza, że dwie pierwsze części nie zostały zmienione.
Zarejestrowane oświadczenia (claims)
iss– kto wystawił tokensub– użytkownik lub podmiotaud– docelowy odbiorcaexp,nbf,iat– czas wygaśnięcia, początek ważności i czas wystawienia jako znaczniki czasu Unixjti– unikalny identyfikator tokena
Najczęściej zadawane pytania
Czy wklejanie tokena tutaj jest bezpieczne?
Token jest dekodowany w Twojej przeglądarce i nigdzie nie jest wysyłany. Mimo to traktuj aktywne tokeny jak hasła i nie udostępniaj ich innym.
Czy każdy może odczytać payload tokena JWT?
Tak. Podpisany JWT jest jedynie zakodowany w Base64URL, a nie zaszyfrowany, dlatego nigdy nie umieszczaj w payloadzie poufnych danych. Zawartość ukrywają tylko tokeny szyfrowane (JWE).
Dlaczego podpis nie jest sprawdzany automatycznie?
Weryfikacja wymaga sekretu lub klucza publicznego wystawcy. Wpisz go w sekcji „Zweryfikuj podpis” – obsługiwane są algorytmy HS, RS, PS i ES.