HTML-Tools

Kostenlose JWT-Decoder und Claims-Inspektor

Dekodieren Sie JWT-Tokens, um Header, Payload-Claims und Zeitstempel zu überprüfen. Die gesamte Dekodierung erfolgt lokal – kein Token wird an einen Server gesendet.

Tool wird geladen...

Was ist JWT-Decoder und Claims-Inspektor?

Ein browserbasierter JWT-Decoder, der den Header und Payload von JSON Web Tokens dekodiert, ohne Daten an einen Server zu senden. Inspizieren Sie Claims wie sub, iat, exp und nbf mit automatischer Zeitstempelkonvertierung in lesbare Daten. Das Tool warnt vor unsicheren Algorithmen (alg: none) und erklärt den Signatur-Überprüfungsstatus.

Kurze Antwort

Fügen Sie ein JWT-Token ein, um Header und Payload zu dekodieren. Zeitstempel (iat, exp, nbf) werden automatisch in lesbare Daten umgewandelt. Die gesamte Dekodierung erfolgt lokal – Ihr Token wird nie hochgeladen.

Einschränkungen

Überprüft keine JWT-Signaturen – dieses Tool dient nur zur Überprüfung, nicht zur Sicherheitsvalidierung. Vertrauen Sie niemals dekodierten Claims ohne serverseitige Verifikation.
Kann verschlüsselte JWTs (JWE) nicht dekodieren – nur signierte JWTs (JWS) mit base64url-kodierten Payloads werden unterstützt.
Die Zeitstempelkonvertierung verwendet die lokale Zeitzone des Browsers – die angezeigte Zeit kann von der Zeitzone des Servers abweichen.

So nutzt du dieses Tool

Fügen Sie Ihr JWT-Token in den Eingabebereich ein.
Prüfen Sie den dekodierten Header (Algorithmus, Typ) und Payload (Claims).
Überprüfen Sie Zeitstempelfelder auf Ablauf und Ausstellungszeit im lesbaren Format.
Beachten Sie etwaige Sicherheitswarnungen zu schwachen Algorithmen.

Wofür du es nutzen kannst

Überprüfen Sie schnell ein JWT aus einer API-Antwort, um Benutzer-ID, Rollen und Ablaufzeit zu verifizieren.
Debuggen Sie einen Authentifizierungsablauf, indem Sie prüfen, ob das Token abgelaufen ist oder die erwarteten Claims enthält.
Verifizieren Sie den Token-Algorithmus, bevor Sie die serverseitige Überprüfung implementieren.

Anwendungsfalle

Praxisbeispiele

Beispiel

Einen API-Zugriffstoken überprüfen

Ein Frontend-Entwickler erhält ein JWT aus einem OAuth-Ablauf. Er fügt es in den Decoder ein, um die Benutzer-ID (sub-Claim), Ablaufzeit (exp) und Ausstellungszeit (iat) im lesbaren Format zu sehen, bevor das Token für API-Aufrufe verwendet wird.

Beispiel

Ein Problem mit abgelaufenem Token debuggen

Ein Benutzer meldet, dass er unerwartet ausgeloggt wurde. Der Entwickler dekodiert das JWT und sieht den exp-Zeitstempel in lokale Zeit umgewandelt – das Token ist vor 5 Minuten abgelaufen. Er passt die Refresh-Token-Logik entsprechend an.

Haufige Fehler

Annehmen, dass JWT-Dekodierung eine Verifikation bedeutet – Dekodierung liest nur den Inhalt, validiert aber nicht die Signatur. Jeder kann ein JWT ohne Schlüssel dekodieren.
JWT-Claims vertrauen, ohne die Signatur in der Produktion zu verifizieren – verifizieren Sie die Signatur immer serverseitig, bevor Sie Claims vertrauen.
Vergessen, dass der JWT-Payload base64url-kodiert (nicht verschlüsselt) ist – sensible Daten sollten niemals in JWT-Claims gespeichert werden.

Überprüfung

Fügen Sie das Standard-JWT-Token ein und überprüfen Sie, ob der Header alg: HS256 und typ: JWT anzeigt.
Überprüfen Sie, ob der Payload name: John Doe anzeigt und die Zeitstempel in lesbare Daten umgewandelt werden.

FAQ

Fragen zu JWT-Decoder und Claims-Inspektor

Überprüft dieses Tool JWT-Signaturen?

Nein. Dieses Tool dekodiert Header und Payload nur zur Überprüfung. Die Signaturverifikation erfordert den geheimen oder öffentlichen Schlüssel, der niemals in ein Browsertool eingegeben werden sollte. Verwenden Sie für die Signaturverifikation eine serverseitige Bibliothek wie jsonwebtoken (Node.js) oder PyJWT (Python).

Werden meine Tokens an einen Server gesendet?

Nein. Die gesamte Dekodierung erfolgt in Ihrem Browser mit JavaScript. Das Token verlässt niemals Ihren Rechner. Sie können dies überprüfen, indem Sie nach dem Laden der Seite die Internetverbindung trennen – das Tool funktioniert weiterhin.

Was ist der Unterschied zwischen iat, exp und nbf?

iat (Issued At) ist der Zeitpunkt der Token-Erstellung. exp (Expiration) ist der Zeitpunkt, ab dem das Token ungültig wird – nach dieser Zeit sollte das Token abgelehnt werden. nbf (Not Before) ist ein Zeitpunkt, vor dem das Token nicht akzeptiert werden darf. Alle sind Unix-Zeitstempel in Sekunden.

Verwandte Tools