JWT-Encoder/Decoder

1. Decodieren: Fügen Sie ein kompaktes JWT ein, um Header, Payload, Signatur, erkannte Claims und lesbare Daten unterstützter Zeit-Claims zu prüfen.
2. Verifizieren: Geben Sie ein HMAC-signiertes Token und dessen Secret an. Das Tool prüft die Signatur mit dem im Token angegebenen Algorithmus.
3. Codieren: Bearbeiten Sie JSON-Header und Payload, wählen Sie HS256, HS384 oder HS512, geben Sie ein Test-Secret ein und erzeugen Sie ein signiertes Token.
4. Nutzen Sie das Beispiel-Token zum Ausprobieren, kopieren Sie Ergebnisse oder leeren Sie die Felder anschließend.

JWT-Encoder/Decoder

Ein JSON Web Token (JWT) ist ein kompaktes Format, mit dem häufig Claims zwischen Systemen übertragen werden. Ein kompaktes Token besteht aus drei Teilen: Header.Payload.Signatur. Dieses Tool kann Token decodieren, HMAC-Signaturen verifizieren und signierte Token für Entwicklung und Tests erzeugen. Die Verarbeitung findet im Browser statt; das Tool speichert eingegebene Felder nicht.

Die drei Teile eines JWT

Der Header enthält Token-Metadaten, häufig Typ und Signaturalgorithmus. Die Payload enthält Claims: Informationen über das Token oder dessen Subjekt. Mit der Signatur lässt sich prüfen, ob Header und Payload mit dem erwarteten Secret signiert und nicht verändert wurden. Header und Payload sind Base64URL-codiert, nicht verschlüsselt. Wer das Token besitzt, kann sie normalerweise decodieren. Speichern Sie daher keine Passwörter, API-Secrets, privaten Schlüssel, Zugangsdaten oder sensiblen persönlichen Informationen in einer normalen JWT-Payload.

Decodieren und Verifizieren

Decodieren zeigt, welche Informationen in einem Token codiert sind. Verifizieren prüft, ob die HMAC-Signatur zu den Token-Daten und dem angegebenen Secret passt. Ein Token kann decodiert werden, obwohl die Signatur ungültig ist, das Secret unbekannt ist, Inhalte verändert wurden oder das Token abgelaufen ist. Lesbar bedeutet nicht vertrauenswürdig. Auch eine gültige Signatur entscheidet nicht, ob eine Anwendung einen Nutzer autorisieren oder einen bestimmten Aussteller, eine Zielgruppe, Rolle oder einen Claim akzeptieren soll.

JWT-Claims und Datumswerte

Zu den üblichen registrierten Claims gehören iss (Aussteller), sub (Subjekt), aud (vorgesehene Zielgruppe), exp (Ablaufzeit), nbf (gültig ab), iat (Ausstellungszeit) und jti (Token-ID). Die Claims exp, nbf und iat enthalten häufig Unix-Zeitstempel in Sekunden. Der Decoder stellt unterstützte numerische Datums-Claims lesbar dar. Die Anwendung, die das Token verwendet, bleibt für Interpretation und Durchsetzung verantwortlich.

HMAC-Signaturen verifizieren

Der Prüfer unterstützt HS256, HS384 und HS512. Diese Algorithmen verwenden HMAC mit SHA-256, SHA-384 und SHA-512 sowie einem gemeinsamen Secret. Das Tool nutzt den im Header angegebenen Algorithmus und vergleicht die berechnete Signatur mit der Token-Signatur. Ein gültiges Ergebnis bedeutet, dass die Signatur zum angegebenen Secret und den Token-Daten passt. Es bestätigt keine Berechtigungen und validiert nicht alle Claims. RSA- oder ECDSA-Prüfung mit öffentlichen/privaten Schlüsseln, etwa RS256 oder ES256, wird nicht unterstützt.

Signiertes JWT erzeugen

Bearbeiten Sie im Modus Codieren den JSON-Header und die Payload, wählen Sie HS256, HS384 oder HS512 und geben Sie ein Secret ein, um ein signiertes kompaktes Token zu erzeugen. Verwenden Sie für Entwicklung Test-Token und Test-Secrets. Ein signiertes JWT macht seine Claims nicht automatisch für den Produktiveinsatz geeignet oder sicher.

JWT sorgfältig verwenden

Decodieren ist nicht Verifizieren, und Verifizieren ist nicht Autorisieren. Verwenden Sie beim Ausprobieren im Browser Test- oder Entwicklungs-Secrets und geben Sie keine Produktionszugänge ein. JWT-Payloads sind normalerweise codiert, nicht verschlüsselt, und daher für jeden lesbar, der das Token erhält. Ihre Anwendung muss Claims und Berechtigungen vor einer Zugriffsfreigabe separat prüfen.

Fügen Sie ein kompaktes JWT ein, um Header, Payload, Signatur, registrierte Claims und lesbare Daten unterstützter numerischer Zeit-Claims zu prüfen.

Prüfen Sie eine Signatur mit HS256, HS384 oder HS512 und dem zum Signieren verwendeten Secret. Die Prüfung verifiziert die Signatur, nicht die Anwendungsberechtigungen.

Bearbeiten Sie JSON-Header und Payload, wählen Sie einen HMAC-Algorithmus, geben Sie ein Secret an und erzeugen Sie ein signiertes Test-Token.

Prüfen Sie Claims wie iss, sub, aud, exp, nbf, iat und jti. Decodieren verifiziert keine Echtheit, und JWT-Payloads sind nicht verschlüsselt.