Debugger / dekoder JWT

Wklej dowolny JWT, aby zdekodować jego trzy oddzielone kropkami części — nagłówek, ładunek i podpis w base64url są pokazane jako sformatowany JSON z zarejestrowanymi roszczeniami (exp, iat, nbf i pokrewne) przeliczonymi na czas lokalny. Potem można zweryfikować podpis za pomocą API WebCrypto: HMAC (HS256/384/512) z sekretem albo RSA/ECDSA (RS256/384/512, ES256/384/512) z kluczem publicznym PEM; przykładowy token HS256 jest o jedno kliknięcie. Wszystko działa lokalnie — tokeny, sekrety i klucze nigdzie nie są wysyłane.
Token JWT Format: nagłówek.ładunek.podpis (trzy segmenty base64url).
Odkodowano
Nagłówek
Ładunek
Podpis (surowy segment base64url)
Ostrzeżenie: ten token deklaruje alg:none, co oznacza, że nie jest podpisany. Prawdziwe usługi muszą odrzucać niepodpisane tokeny — traktuj go jako niezaufany.
Zarejestrowane roszczenia
RoszczenieWartośćInterpretacja
Weryfikuj podpis
Sekret
crypto.subtle nie jest dostępne w tym kontekście, więc weryfikacja podpisu jest wyłączona. Otwórz stronę przez https: albo z lokalnego pliku, aby ją włączyć. Dekodowanie nadal działa.
Jak czytać wynik: nagłówek zwykle zawiera alg (algorytm podpisu) i typ. Zarejestrowane roszczenia wyświetlane z konwersją na czas lokalny to iat (wystawiono), nbf (nie przed) i exp (wygaśnięcie) — czerwona odznaka oznacza, że token wygasł, bursztynowa — że wygaśnie w ciągu 24 godzin. Weryfikacja podpisu oblicza ten sam MAC, który obliczyłby wystawca, albo sprawdza klucz publiczny RSA/ECDSA, który zostanie wklejony, a potem oznacza token jako VALID lub INVALID. Można weryfikować tylko algorytmy zaimplementowane w warstwie WebCrypto przeglądarki; wszystko inne jest zgłaszane jako nieobsługiwane zamiast zgadywane.

Popularne zarejestrowane roszczenia: sub (podmiot) to użytkownik lub byt, którego dotyczy token — w przykładzie to tylko numeryczny ID, ale usługi często wstawiają tu e-mail, nazwę użytkownika lub UUID. iss nazywa wystawcę, aud nazywa zamierzonego odbiorcę, a jti to unikalny identyfikator tokenu używany do zapobiegania powtórzeniom. Te roszczenia nie są szyfrowane; każdy, kto ma token, może je odczytać, więc nigdy nie umieszczaj haseł ani sekretów w ładunku JWT.

Prywatność: dekodowanie i weryfikacja odbywają się w całości na tej stronie za pomocą API WebCrypto — token, sekret i wszelkie klucze publiczne nigdy nie są przesyłane. Dla tokenu alg:none strona wyświetla wyraźne ostrzeżenie: niepodpisane tokeny nigdy nie powinny być akceptowane przez prawdziwe API.