JWT-debugger / -decoder

Plak elke JWT om de drie door punten gescheiden delen te decoderen — de base64url-header, payload en handtekening worden weergegeven als opgemaakte JSON, met geregistreerde claims (exp, iat, nbf en verwante) omgezet naar uw lokale tijd. U kunt de handtekening daarna verifiëren met de WebCrypto-API: HMAC (HS256/384/512) met een geheim, of RSA/ECDSA (RS256/384/512, ES256/384/512) met een PEM-publieke sleutel. Een voorbeeld-HS256-token is met één klik beschikbaar voor experimenten. Alles draait lokaal — tokens, geheimen en sleutels worden nergens naartoe gestuurd.
JWT-token Indeling: header.payload.handtekening (drie base64url-segmenten).
Gedecodeerd
Header
Payload
Handtekening (onbewerkt base64url-segment)
Waarschuwing: dit token declareert alg:none, wat betekent dat het niet ondertekend is. Echte diensten moeten ongetekende tokens weigeren — behandel het als niet-vertrouwd.
Geregistreerde claims
ClaimWaardeInterpretatie
Handtekening verifiëren
Geheim
crypto.subtle is in deze context niet beschikbaar, dus handtekeningverificatie is uitgeschakeld. Open de pagina via https: of vanuit een lokaal bestand om dit in te schakelen. Decoderen werkt nog steeds.
Zo leest u het resultaat: de header bevat meestal alg (het ondertekeningsalgoritme) en typ. Geregistreerde claims die met lokale tijd worden weergegeven zijn iat (uitgegeven op), nbf (niet vóór) en exp (verloopdatum) — een rood label betekent dat het token is verlopen, oranje betekent dat het binnen 24 uur verloopt. Handtekeningverificatie berekent dezelfde MAC als de uitgever zou berekenen, of controleert de RSA/ECDSA-publieke sleutel die u plakt, en markeert het token daarna als GELDIG of ONGELDIG. Alleen algoritmen die door de WebCrypto-laag van de browser zijn geïmplementeerd kunnen worden geverifieerd; al het andere wordt als niet-ondersteund gemeld in plaats van geraden.

Veelvoorkomende geregistreerde claims: sub (onderwerp) is de gebruiker of entiteit waar het token over gaat — in uw voorbeeld is het slechts een numeriek ID, maar diensten zetten hier vaak een e-mailadres, gebruikersnaam of UUID. iss noemt de uitgever, aud noemt het beoogde publiek, en jti is een uniek token-ID dat wordt gebruikt om herhaling te voorkomen. Deze claims zijn niet versleuteld; iedereen met het token kan ze lezen, dus zet nooit wachtwoorden of geheimen in een JWT-payload.

Privacy: decoderen en verifiëren gebeuren volledig op deze pagina met de WebCrypto-API — het token, uw geheim en elke publieke sleutel worden nooit verzonden. Voor een token met alg:none toont de pagina een duidelijke waarschuwing: ongetekende tokens zouden nooit door een echte API mogen worden geaccepteerd.