JWT-Decoder
Header, Payload und Signatur eines JSON Web Token im Browser entschlüsseln — keine Server-Übertragung.
Das Token aus drei Teilen, durch Punkte getrennt (Header.Payload.Signatur), meist beginnend mit eyJ. Gelesen wird nur in Ihrem Browser.
So funktioniert dieses Tool
JSON Web Tokens (JWT) sind das Standard-Format für Authentifizierung und Single-Sign-On (OAuth 2.0, OpenID Connect). Ein JWT besteht aus drei base64-kodierten Teilen: Header, Payload und Signatur. Der Decoder zerlegt jeden Token im Browser — keine Server-Übertragung, keine Logs, keine API-Calls. Zusätzlich prüft er Standard-Claims (exp, iat, nbf, iss, aud) und zeigt, ob der Token bereits abgelaufen ist. Optional kann mit einem geheimen Schlüssel (HS256) oder einem Public Key (RS256) auch die Signatur verifiziert werden.
Typische Anwendungsfälle
- Im Debugging einer fehlerhaften OAuth-Integration den Inhalt des Access-Tokens lesen
- Bei "401 Unauthorized" prüfen, ob der Token bereits abgelaufen ist (exp-Claim)
- Die Rollen-Claims im Token kontrollieren — entspricht das den erwarteten Berechtigungen?
- Vor Deployment den Issuer (iss) und Audience (aud) gegen Erwartung prüfen
- Bei verdächtigem Token überprüfen, mit welchem Algorithmus signiert wurde (alg)
Häufige Fragen
Werden meine JWTs an einen Server gesendet?
Nein. Das Decoding läuft komplett im Browser via JavaScript Web-Crypto-API. Es gibt keinen Netzwerkaufruf, keinen Log, kein Cookie.
Was bedeutet "alg: none" und ist das gefährlich?
Ein JWT ohne Signatur. Das war 2015 ein bekannter Angriff: Server akzeptierten "none"-JWTs als gültig. Moderne Bibliotheken lehnen "none" per Default ab — wenn Sie den sehen, ist Ihre Implementierung verwundbar.
Welche Algorithmen werden zur Signatur-Prüfung unterstützt?
HS256/HS384/HS512 (HMAC mit Shared Secret) und RS256/RS384/RS512 (RSA mit Public Key). ES256 (Elliptic Curve) ist auf der Roadmap.
Warum ist exp so wichtig?
Ohne Ablaufdatum wäre ein einmal gestohlener Token für immer gültig. exp sollte bei Access-Tokens 5-15 Minuten betragen, Refresh-Tokens dagegen Tage bis Wochen.
Kann der Decoder JWE entschlüsseln?
JWE (verschlüsselte JWTs) wird aktuell nicht unterstützt — nur signierte JWS-Tokens. Die meisten Auth-Server nutzen JWS, JWE ist die Ausnahme.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.