Gratis converter
JWT-token Decoder
Decodeer de JWT-header (JSON Web Token) en de payload direct in uw browser. Gratis, privé en aan de clientzijde: er worden geen gegevens naar een server verzonden.
Decodeer de JWT-header (JSON Web Token) en de payload direct in uw browser. Gratis, privé en aan de clientzijde: er worden geen gegevens naar een server verzonden.
JSON Web Tokens (JWT) is een compact, URL-veilig formaat voor het verzenden van claims tussen twee partijen, gedefinieerd door RFC 7519. Een JWT bestaat uit drie base64url-gecodeerde segmenten gescheiden door punten: header (algoritme en tokentype), payload (claims) en handtekening (cryptografisch bewijs van authenticiteit). De header en payload zijn JSON, base64url-gecodeerd voor URL-veiligheid; de handtekening gebruikt een van de verschillende algoritmen (HS256, RS256, ES256 en andere) via de gecodeerde header en payload.
Het decoderen van een JWT – het opsplitsen in segmenten en het base64-decoderen ervan – vereist geen enkel geheim. Iedereen met de tokentekst kan de header en payload ervan lezen. De handtekening kan echter alleen worden geverifieerd met de geheime (HMAC) of publieke sleutel (asymmetrisch). Decodering is ter inspectie; verificatie is wat de authenticiteit bewijst.
Deze decoder splitst het token, base64-decodeert elk segment, parseert de header en payload als JSON en toont het resultaat. Er wordt geen handtekeningverificatie geprobeerd, omdat daarvoor de geheime of publieke sleutel nodig is, die de decoder niet heeft. De gedecodeerde uitvoer is alleen-lezen-inspectie: handig voor het debuggen van tokens, maar geen vervanging voor een goede verificatie in applicatiecode.
Bij het opsporen van authenticatieproblemen gaat het bijna altijd om het inspecteren van tokens. Een token dat er in de code geldig uitziet, kan verkeerde claims hebben, een onverwacht algoritme, een verlopen exp-tijdstempel of een niet-overeenkomende doelgroep. Het decoderen van het token onthult precies wat de uitgever heeft geproduceerd.
Het inspecteren van tokens tijdens integratiewerkzaamheden helpt ook. Wanneer u verbinding maakt met een API of identiteitsprovider van derden, kunnen de daadwerkelijke claimnamen, formaten en structuur het beste worden begrepen door voorbeeldtokens te decoderen in plaats van te vertrouwen op documentatie die mogelijk verouderd is.
Plak het token en haal de geparseerde inhoud op.
Het JWT-formaat bestaat uit drie segmenten die met elkaar zijn verbonden door punten. Elk segment is base64url-gecodeerd: de URL-veilige variant van base64 die - en _ gebruikt in plaats van + en /, waarbij opvulling soms wordt weggelaten. Decodering vereist het ongedaan maken van de URL-veilige vervangingen, het opvullen van het segment en het base64-decoderen.
De header en payload zijn JSON na decodering. Het handtekeningsegment is binair (onbewerkte handtekeningbytes) en is niet voor mensen leesbaar; het vereist dat de verificatiesleutel nuttig is.
Veel voorkomende claims gedefinieerd in RFC 7519: iss (uitgever), sub (onderwerp-ID), aud (publiek), exp (vervaldatum als Unix-epochseconden), nbf (niet vóór tijdstempel), iat (uitgegeven op tijdstempel), jti (unieke token-ID). Applicatiespecifieke claims kunnen met elke naam verschijnen.