Darmowy konwerter
Token JWT Dekoder
Odkoduj nagłówek i ładunek JWT (JSON Web Token) natychmiast w przeglądarce. Bezpłatne, prywatne i po stronie klienta — żadne dane nie są wysyłane na żaden serwer.
Odkoduj nagłówek i ładunek JWT (JSON Web Token) natychmiast w przeglądarce. Bezpłatne, prywatne i po stronie klienta — żadne dane nie są wysyłane na żaden serwer.
Tokeny internetowe JSON (JWT) to kompaktowy, bezpieczny dla adresów URL format przesyłania roszczeń między dwiema stronami, zdefiniowany w dokumencie RFC 7519. JWT to trzy segmenty zakodowane w formacie base64url oddzielone kropkami: nagłówek (algorytm i typ tokena), ładunek (oświadczenia) i podpis (kryptograficzny dowód autentyczności). Nagłówek i ładunek to JSON, zakodowany w formacie base64url w celu zapewnienia bezpieczeństwa adresu URL; podpis wykorzystuje jeden z kilku algorytmów (HS256, RS256, ES256 i inne) w oparciu o zakodowany nagłówek i ładunek.
Dekodowanie JWT — dzielenie go na segmenty i dekodowanie każdego z nich w formacie base64 — nie wymaga żadnego sekretu. Każda osoba posiadająca tekst tokena może przeczytać jego nagłówek i ładunek. Podpis można jednak zweryfikować jedynie za pomocą sekretu (HMAC) lub klucza publicznego (asymetryczny). Dekodowanie służy do kontroli; weryfikacja jest tym, co potwierdza autentyczność.
Ten dekoder dzieli token, dekoduje każdy segment za pomocą base64, analizuje nagłówek i ładunek jako JSON i wyświetla wynik. Nie podejmuje próby weryfikacji podpisu, ponieważ wymaga to tajnego lub publicznego klucza, którego dekoder nie posiada. Zdekodowany wynik to kontrola tylko do odczytu — przydatna do debugowania tokenów, ale nie zastępuje właściwej weryfikacji w kodzie aplikacji.
Debugowanie problemów z uwierzytelnianiem prawie zawsze wiąże się ze sprawdzaniem tokenów. Token, który wygląda na prawidłowy w kodzie, może zawierać błędne oświadczenia, nieoczekiwany algorytm, wygasłą sygnaturę czasową ważności lub niedopasowanie odbiorców. Dekodowanie tokena ujawnia dokładnie, co wyprodukował emitent.
Pomocne jest również sprawdzanie tokenów podczas prac integracyjnych. Podczas łączenia się z zewnętrznym interfejsem API lub dostawcą tożsamości rzeczywiste nazwy, formaty i strukturę roszczeń najlepiej zrozumieć poprzez dekodowanie przykładowych tokenów, zamiast polegać na dokumentacji, która może być nieaktualna.
Wklej token, pobierz przeanalizowaną zawartość.
Format JWT to trzy segmenty połączone kropkami. Każdy segment jest zakodowany w formacie base64url — bezpiecznym dla adresu URL wariantem base64, w którym używane są - i _ zamiast + i /, czasami z pominięciem dopełnienia. Dekodowanie wymaga cofnięcia podstawień bezpiecznych dla adresów URL, dopełnienia segmentu i dekodowania base64.
Nagłówek i ładunek są po dekodowaniu w formacie JSON. Segment podpisu jest binarny (surowe bajty podpisu) i nie jest czytelny dla człowieka; wymaga klucza weryfikacyjnego, aby był użyteczny.
Typowe oświadczenia zdefiniowane w RFC 7519: iss (wystawca), sub (identyfikator podmiotu), aud (odbiorcy), exp (wygaśnięcie w sekundach epoki Uniksa), nbf (nie przed znacznikiem czasu), iat (wystawiony w znaczniku czasu), jti (unikalny identyfikator tokena). Oświadczenia specyficzne dla aplikacji mogą pojawiać się pod dowolną nazwą.