Ladiaci nástroj / dekodér JWT

Vloží sa ľubovoľný JWT na dekódovanie jeho troch častí oddelených bodkami — hlavička, užitočné údaje a podpis base64url sa zobrazia ako formátovaný JSON s registrovanými nárokmi (exp, iat, nbf a ďalšie) prevedenými na miestny čas. Podpis sa potom dá overiť cez WebCrypto API: HMAC (HS256/384/512) s tajomstvom, alebo RSA/ECDSA (RS256/384/512, ES256/384/512) s verejným kľúčom PEM. Vzorový token HS256 je na jedno kliknutie pre pokusy. Všetko beží lokálne — tokeny, tajomstvá a kľúče sa nikdy nikam neodosielajú.
Token JWT Formát: hlavička.užitočné_údaje.podpis (tri segmenty base64url).
Dekódované
Hlavička
Užitočné údaje
Podpis (surový segment base64url)
Upozornenie: tento token deklaruje alg:none, čo znamená, že nie je podpísaný. Skutočné služby musia odmietnuť nepodpísané tokeny — treba ho považovať za nedôveryhodný.
Registrované nároky
NárokHodnotaInterpretácia
Overiť podpis
Tajomstvo
crypto.subtle v tomto kontexte nie je dostupný, takže overenie podpisu je vypnuté. Stránku treba otvoriť cez https: alebo z lokálneho súboru, aby sa overenie zapnulo. Dekódovanie stále funguje.
Ako čítať výsledok: hlavička zvyčajne obsahuje alg (podpisový algoritmus) a typ. Registrované nároky zobrazené s prevodom na miestny čas sú iat (vydané), nbf (nie skôr ako) a exp (expirácia) — červený odznak znamená, že token expiroval, žltý, že expiruje do 24 hodín. Overenie podpisu vypočíta rovnaký MAC, aký by vypočítal vydavateľ, alebo skontroluje verejný kľúč RSA/ECDSA, ktorý sa vloží, a potom označí token PLATNÝ alebo NEPLATNÝ. Overiť sa dajú len algoritmy implementované vrstvou WebCrypto prehliadača — všetko ostatné sa oznámi ako nepodporované namiesto odhadovania.

Bežné registrované nároky: sub (predmet) je používateľ alebo entita, ktorej sa token týka — vo vzorke je to len číselné ID, ale služby sem často dávajú e-mail, meno používateľa alebo UUID. iss označuje vydavateľa, aud označuje zamýšľaného adresáta a jti je jedinečné ID tokenu na zabránenie opakovaniu. Tieto nároky nie sú šifrované; ktokoľvek s tokenom si ich môže prečítať, preto sa heslá ani tajomstvá nikdy nedávajú do užitočného obsahu JWT.

Súkromie: dekódovanie a overenie prebiehajú celé na tejto stránke cez WebCrypto API — token, tajomstvo a verejný kľúč sa nikdy neprenášajú. Pri tokene alg:none stránka zobrazí jasné upozornenie: nepodpísané tokeny by skutočné API nikdy nemalo prijať.