JWT-debugger / -dekoder

Indsæt et hvilket som helst JWT for at dekode dets tre punktum-adskilte dele — den base64url-kodede header, payload og signatur vises som formateret JSON, med registrerede claims (exp, iat, nbf og lignende) omregnet til lokal tid. Derefter kan signaturen verificeres med WebCrypto-API'et: HMAC (HS256/384/512) med en hemmelighed, eller RSA/ECDSA (RS256/384/512, ES256/384/512) med en PEM-offentlig nøgle, og et eksempel-HS256-token er et klik væk til eksperimenter. Alt kører lokalt — tokens, hemmeligheder og nøgler sendes aldrig nogen steder.
JWT-token Format: header.payload.signature (tre base64url-segmenter).
Dekodet
Header
Payload
Signatur (rå base64url-segment)
Advarsel: dette token angiver alg:none, hvilket betyder, at det ikke er signeret. Rigtige tjenester skal afvise usignerede tokens — behandl det som upålideligt.
Registrerede claims
ClaimVærdiFortolkning
Verificér signatur
Hemmelighed
crypto.subtle er ikke tilgængelig i denne kontekst, så signaturverificering er deaktiveret. Åbn siden over https: eller fra en lokal fil for at aktivere den. Dekodning virker stadig.
Sådan læses resultatet: headeren indeholder normalt alg (signeringsalgoritmen) og typ. Registrerede claims vist med lokal tidskonvertering er iat (udstedt kl.), nbf (ikke før) og exp (udløb) — et rødt mærke betyder, at tokenet er udløbet, gult betyder, at det udløber inden for 24 timer. Signaturverificering beregner den samme MAC, som udstederen ville, eller kontrollerer den RSA/ECDSA-offentlige nøgle, der indsættes, og markerer derefter tokenet GYLDIGT eller UGYLDIGT. Kun algoritmer, som browserens WebCrypto-lag implementerer, kan verificeres; alt andet rapporteres som ikke understøttet i stedet for at blive gættet.

Almindelige registrerede claims: sub (subject) er brugeren eller enheden, tokenet handler om — i eksemplet er det blot et numerisk ID, men tjenester lægger ofte en e-mail, et brugernavn eller et UUID her. iss navngiver udstederen, aud navngiver den tilsigtede modtager, og jti er et unikt token-ID, der bruges til at forhindre replay. Disse claims er ikke krypteret; enhver med tokenet kan læse dem, så læg aldrig adgangskoder eller hemmeligheder i en JWT-payload.

Privatliv: dekodning og verificering sker helt på denne side med WebCrypto-API'et — tokenet, hemmeligheden og enhver offentlig nøgle sendes aldrig. For et alg:none-token viser siden en tydelig advarsel: usignerede tokens bør aldrig accepteres af en rigtig API.