Відладчик / декодер JWT

Вставте будь-який JWT, щоб розібрати його три частини, розділені крапками: заголовок, payload і підпис у форматі base64url показуються як відформатований JSON, а зареєстровані claims (exp, iat, nbf та інші) перетворюються на ваш місцевий час. Потім можна перевірити підпис через WebCrypto API: HMAC (HS256/384/512) із секретом або RSA/ECDSA (RS256/384/512, ES256/384/512) із відкритим ключем PEM. Зразок HS256 доступний в один клік для експериментів. Все працює локально — токени, секрети й ключі ніколи нікуди не надсилаються.
JWT-токен Формат: header.payload.signature (три сегменти base64url).
Декодовано
Заголовок
Payload
Підпис (необроблений сегмент base64url)
Попередження: цей токен оголошує alg:none, тобто він не підписаний. Справжні сервіси мають відхиляти непідписані токени — ставтеся до нього як до ненадійного.
Зареєстровані claims
ClaimЗначенняІнтерпретація
Перевірити підпис
Секрет
crypto.subtle недоступний у цьому контексті, тож перевірку підпису вимкнено. Відкрийте сторінку через https: або з локального файлу, щоб її увімкнути. Декодування працює.
Як читати результат: заголовок зазвичай містить alg (алгоритм підпису) і typ. Зареєстровані claims, показані з перетворенням на місцевий час, — це iat (час видачі), nbf (не раніше) і exp (закінчення строку дії): червоний значок означає, що строк минув, жовтий — що він спливає протягом 24 годин. Перевірка підпису обчислює той самий MAC, що й видавець, або перевіряє відкритий ключ RSA/ECDSA, який ви вставили, а потім позначає токен VALID або INVALID. Можна перевірити лише алгоритми, реалізовані в WebCrypto браузера; інші позначаються як непідтримувані, а не вгадуються.

Поширені зареєстровані claims: sub (суб'єкт) — це користувач або сутність, якої стосується токен; у вашому зразку це просто числовий ID, але сервіси часто вказують тут email, ім'я користувача або UUID. iss називає видавця, aud — цільову аудиторію, а jti — унікальний ідентифікатор токена, який запобігає повторному використанню. Ці claims не шифруються; будь-хто з токеном може їх прочитати, тож ніколи не кладіть паролі чи секрети в payload JWT.

Приватність: декодування і перевірка відбуваються повністю на цій сторінці за допомогою WebCrypto API — токен, ваш секрет і будь-який відкритий ключ ніколи не передаються. Для alg:none-токена сторінка показує чітке попередження: справжній API ніколи не має приймати непідписані токени.