JWT декодер
Декодируйте и анализируйте JSON Web Tokens (JWT) с детальным анализом claims
Структура токена
00
Алгоритм
—
Claims
0
Статус токена
—
Вставьте ваш JWT токен сюда...
01
Что такое JWT
JSON Web Token, или JWT, — компактная строка с утверждениями (claims): например, кто пользователь и когда истекает доступ. Токен состоит из трёх частей, разделённых точками: заголовка (header), полезной нагрузки (payload) и подписи. Заголовок и payload — это JSON в URL-безопасном Base64, поэтому прочитать их может кто угодно. Подпись позволяет серверу убедиться, что токен не изменён.
Декодер разбивает токен, показывает заголовок и payload в виде отформатированного JSON и превращает claims exp, iat и nbf в понятные даты с текущим статусом срока действия. Он только декодирует и не проверяет подпись. Токен декодируется в браузере и никуда не загружается, поэтому рабочие токены можно смотреть, не передавая их третьим лицам.
02
Как расшифровать JWT
- Вставьте токен в поле или нажмите «Загрузить пример», чтобы попробовать.
- В заголовке посмотрите алгоритм подписи и тип токена.
- В payload посмотрите claims; даты показаны в вашем местном времени.
- Проверьте статус токена: активен он или истёк.
- Скопируйте заголовок или payload в формате JSON, если они нужны в другом месте.
03
JWT декодер: частые вопросы
- Что такое header, payload и signature в JWT?
- Заголовок (header) указывает алгоритм подписи, например HS256 или RS256, и тип токена. Payload содержит claims: зарегистрированные, такие как sub, iss, aud и exp, и любые пользовательские данные. Подпись (signature) вычисляется из заголовка и payload с помощью секрета или закрытого ключа, поэтому любое изменение этих частей делает её недействительной.
- Безопасно ли вставлять сюда JWT?
- Токен декодируется в этой вкладке браузера и не отправляется на сервер, не пишется в логи и не сохраняется, так что рабочий токен здесь не утечёт. И всё же обращайтесь с токенами как с паролями: любой, у кого есть действующий токен, может пользоваться им до истечения срока. Очищайте поле после работы и не делитесь скриншотами payload.
- Что означают exp, iat и nbf?
- Это Unix-метки времени в секундах. exp — время истечения, после которого токен нужно отклонять. iat — время выпуска токена, а nbf — время, до которого его нельзя принимать. Декодер показывает каждую метку как дату в вашем местном времени. Чтобы перевести другие метки, используйте конвертер Unix-времени.
- Проверяет ли этот инструмент подпись JWT?
- Нет. Он декодирует заголовок и payload, но не проверяет подпись, поэтому раскодированный токен ещё не доказывает свою подлинность. Для проверки нужен секрет для алгоритмов HMAC или открытый ключ для RSA и ECDSA, и выполнять её следует на сервере с помощью поддерживаемой библиотеки JWT.
04