HTML-tools

Gratis JWT Decoder en Claims Inspector

Decodeer JWT-tokens om de header, payload-claims en tijdstempels te inspecteren. Alle decodering vindt lokaal plaats – geen token wordt naar een server verzonden.

Tool laden...

Wat is JWT Decoder en Claims Inspector?

Een browsergebaseerde JWT-decoder die de header en payload van JSON Web Tokens decodeert zonder gegevens ergens naartoe te sturen. Inspecteer claims zoals sub, iat, exp en nbf met automatische conversie van tijdstempels naar leesbare datums. De tool waarschuwt voor onveilige algoritmen (alg: none) en legt de status van de handtekeningverificatie uit.

Snel antwoord

Plak een JWT-token om de header en payload te decoderen. Tijdstempels (iat, exp, nbf) worden automatisch omgezet naar leesbare datums. Alle decodering is lokaal – uw token wordt nooit geüpload.

Beperkingen

Verifieert geen JWT-handtekeningen – deze tool is alleen voor inspectie, niet voor beveiligingsvalidatie. Vertrouw nooit gedecodeerde claims zonder server-side verificatie.
Kan versleutelde JWTs (JWE) niet decoderen – alleen ondertekende JWTs (JWS) met base64url-gecodeerde payloads worden ondersteund.
Tijdstempelconversie gebruikt de lokale tijdzone van de browser – de weergegeven tijd kan afwijken van de tijdzone van de server.

Zo gebruik je deze tool

Plak uw JWT-token in het invoergebied.
Bekijk de gedecodeerde header (algoritme, type) en payload (claims).
Controleer tijdstempelvelden voor vervaldatum en uitgiftetijd in leesbaar formaat.
Let op eventuele beveiligingswaarschuwingen over zwakke algoritmen.

Waarvoor je het kunt gebruiken

Inspecteer snel een JWT uit een API-antwoord om de gebruikers-ID, rollen en vervaldatum te verifiëren.
Debug een authenticatiestroom door te controleren of het token is verlopen of de verwachte claims bevat.
Verifieer het token-algoritme voordat u server-side verificatie implementeert.

Gebruik

Praktische voorbeelden

Voorbeeld

Een API-toegangstoken inspecteren

Een frontend-ontwikkelaar ontvangt een JWT van een OAuth-stroom. Hij plakt het in de decoder om de gebruikers-ID (sub-claim), vervaldatum (exp) en uitgiftetijd (iat) in leesbaar formaat te zien voordat het token voor API-aanroepen wordt gebruikt.

Voorbeeld

Een probleem met verlopen token debuggen

Een gebruiker meldt onverwacht te zijn uitgelogd. De ontwikkelaar decodeert het JWT en ziet de exp-tijdstempel omgezet naar lokale tijd – het token is 5 minuten geleden verlopen. Hij past de refresh-tokenlogica dienovereenkomstig aan.

Veelgemaakte fouten

Aannemen dat JWT-decodering betekent dat het token is geverifieerd – decodering leest alleen de inhoud, het valideert niet de handtekening. Iedereen kan een JWT decoderen zonder sleutel.
JWT-claims vertrouwen zonder de handtekening in productie te verifiëren – verifieer altijd de handtekening server-side voordat u claims vertrouwt.
Vergeten dat JWT-payload base64url-gecodeerd (niet versleuteld) is – gevoelige gegevens mogen nooit in JWT-claims worden opgeslagen.

Verificatie

Plak het standaard JWT-token en controleer of de header alg: HS256 en typ: JWT toont.
Controleer of de payload name: John Doe toont en de tijdstempels zijn omgezet naar leesbare datums.

FAQ

Vragen over JWT Decoder en Claims Inspector

Verifieert deze tool JWT-handtekeningen?

Nee. Deze tool decodeert de header en payload alleen voor inspectie. Handtekeningverificatie vereist de geheime of openbare sleutel, die nooit in een browsertool mag worden ingevoerd. Gebruik voor handtekeningverificatie een server-side bibliotheek zoals jsonwebtoken (Node.js) of PyJWT (Python).

Worden mijn tokens naar een server verzonden?

Nee. Alle decodering gebeurt in uw browser met JavaScript. Het token verlaat nooit uw machine. U kunt dit verifiëren door de internetverbinding te verbreken nadat de pagina is geladen – de tool blijft werken.

Wat is het verschil tussen iat, exp en nbf?

iat (Issued At) is wanneer het token is aangemaakt. exp (Expiration) is wanneer het token ongeldig wordt – na deze tijd moet het token worden geweigerd. nbf (Not Before) is een tijd waarvoor het token niet mag worden geaccepteerd. Dit zijn allemaal Unix-tijdstempels in seconden.

Gerelateerde tools