Ladicí nástroj / dekodér JWT

Vložte libovolný JWT a dekódujte jeho tři části oddělené tečkami — hlavička, payload a podpis v base64url se zobrazí jako formátovaný JSON s registrovanými nároky (exp, iat, nbf a další) převedenými na váš místní čas. Poté můžete podpis ověřit pomocí WebCrypto API: HMAC (HS256/384/512) s tajným klíčem, nebo RSA/ECDSA (RS256/384/512, ES256/384/512) s veřejným klíčem PEM. Vzorový token HS256 je na jedno kliknutí pro experimenty. Vše běží lokálně — tokeny, tajemství a klíče se nikam neodesílají.
Token JWT Formát: hlavička.payload.podpis (tři segmenty base64url).
Dekódováno
Hlavička
Payload
Podpis (surový segment base64url)
Varování: tento token deklaruje alg:none, což znamená, že není podepsán. Skutečné služby musí nepodepsané tokeny odmítnout — berte jej jako nedůvěryhodný.
Registrované nároky
NárokHodnotaInterpretace
Ověřit podpis
Tajemství
crypto.subtle není v tomto kontextu dostupné, takže ověřování podpisu je vypnuto. Otevřete stránku přes https: nebo z místního souboru, aby fungovalo. Dekódování funguje dál.
Jak číst výsledek: hlavička obvykle obsahuje alg (podpisový algoritmus) a typ. Registrované nároky zobrazené s převodem na místní čas jsou iat (vydáno), nbf (ne dříve než) a exp (expirace) — červený štítek znamená, že token vypršel, oranžový, že vyprší do 24 hodin. Ověření podpisu spočítá stejný MAC, jaký by spočítal vydavatel, nebo ověří veřejný klíč RSA/ECDSA, který vložíte, a poté označí token jako PLATNÝ nebo NEPLATNÝ. Ověřit lze jen algoritmy implementované vrstvou WebCrypto prohlížeče; ostatní se hlásí jako nepodporované, místo aby se odhadovaly.

Běžné registrované nároky: sub (předmět) je uživatel nebo entita, o které token je — ve vašem vzorku je to jen číselné ID, ale služby sem často dávají e-mail, uživatelské jméno nebo UUID. iss pojmenovává vydavatele, aud zamýšleného příjemce a jti je jedinečné ID tokenu, které brání opakovanému použití. Tyto nároky nejsou šifrované; kdokoli s tokenem je může číst, takže do payloadu JWT nikdy nedávejte hesla ani tajemství.

Soukromí: dekódování a ověřování probíhají zcela na této stránce pomocí WebCrypto API — token, váš tajný klíč ani žádný veřejný klíč se nikam nepřenáší. U tokenu alg:none stránka zobrazí jasné varování: nepodepsané tokeny by skutečné API nikdy nemělo přijmout.