JWT-decoder

JWT-decoder splitst een JSON-webtoken in zijn drie door punt gescheiden segmenten, Base64url-decodeert de header en payload en rendert beide als geformatteerde JSON. JWTS zijn niet versleuteld - de "codering" is slechts base64url, een omkeerbare transformatie - dus iedereen die een token vasthoudt, kan elke claim erin lezen. Deze tool maakt die inspectie direct: plak een token van een set-cookie-header, een autorisatiekop (het voorvoegsel van de drager wordt automatisch gestript), of het dashboard van uw auth-provider, en kijk precies wat uw server daar heeft geplaatst.

De claimtabel is waar debugging daadwerkelijk plaatsvindt. Geregistreerde tijdclaims - EXP (expiratie), IAT (uitgegeven AT) en NBF (niet eerder) - zijn UNIX-tijdstempels, nutteloos om RAW te lezen. De decoder converteert elk naar een menselijke datum en een relatieve tijd ("verlopen 3 uur geleden", "vervalt in 14 minuten") en markeert verlopen tokens in rood. De meeste "401 ongeautoriseerde, maar het token ziet er prima uit" incidenten komen neer op een verlopen EXP, een NBF met klokken of een AUD-claim die niet overeenkomt met wat de API valideert - allemaal zichtbaar hier in twee seconden.

Een ding dat deze tool opzettelijk niet doet: handtekeningen verifiëren. Verificatie vereist het ondertekenen geheim (HS256) of openbare sleutel (RS256/ES256), en een tool aan de clientzijde die u vraagt om een HMAC-geheim te plakken, zou slechte gewoonten aanleren. Decodering is 100% client-side - het token verlaat nooit uw browser, raakt geen server en verschijnt in No Request Log, wat ertoe doet omdat een live productie JWT een aangifte aan toonder is. Iedereen die het heeft, ben jij.

Decodering is niet verifiëren, en het onderscheid is het hele beveiligingsmodel van een JWT. De header en payload zijn base64url, niet versleuteld, dus iedereen die een token vasthoudt, kan elke claim erin lezen zonder een sleutel. Wat de handtekening levert, is het bewijs dat de inhoud niet is gewijzigd, en om het te controleren vereist de geheime of openbare sleutel, wat een server-side bewerking is. Behandel de payload als openbare informatie: leg er nooit iets gevoeligs in.