JWT-Decoder und Signaturprüfung
Füge ein JSON Web Token ein und sieh Header und Payload, was jeder Claim bedeutet und wann das Token abläuft. Mit dem Secret oder dem öffentlichen Schlüssel prüfst du die Signatur. Alles läuft in deinem Browser, Tokens verlassen dein Gerät nicht.
Kostenlos · Ohne Anmeldung
So funktioniert es
- Füge dein JWT in das Feld Kodiertes Token ein. Ein vorangestelltes „Bearer “ wird automatisch entfernt.
- Lies Header und Payload. Jeder Claim wird erklärt, und Zeitangaben wie exp und iat erscheinen in deiner Zeitzone.
- In der Ablaufzeile siehst du, ob das Token gültig, abgelaufen oder noch nicht gültig ist.
- Zum Prüfen der Signatur gibst du bei HS256, HS384 oder HS512 das gemeinsame Secret ein, bei RS-, PS-, ES- oder EdDSA-Tokens den öffentlichen Schlüssel oder das JWKS.
Warum dieses Tool
Sofort dekodiert
Header und Payload werden beim Einfügen dekodiert, mit farbigem JSON und hervorgehobenen Token-Teilen.
Claims verständlich
Standard-Claims und gängige OpenID-Connect-Claims werden erklärt, Zeitstempel als lesbares Datum angezeigt.
Ablaufprüfung
Auf einen Blick: gültig, abgelaufen oder noch nicht aktiv, und wie lange noch.
Signaturprüfung
Prüft HS256/384/512, RS256/384/512, PS256/384/512, ES256/384/512 und EdDSA mit Secret, PEM-Schlüssel, JWK oder JWKS.
Privat
Dekodieren und Prüfen nutzen die eingebaute Kryptografie des Browsers. Tokens und Schlüssel werden weder gesendet noch gespeichert.
Hilfreiche Fehler
Klare Meldungen bei abgeschnittenen Tokens, fehlerhaftem Base64, verschlüsselten JWE, alg none und falschem Schlüsseltyp.
Was ist ein JWT?
Ein JSON Web Token (JWT, RFC 7519) überträgt signierte Informationen, etwa wer ein Nutzer ist, kompakt zwischen Systemen. Es besteht aus drei Base64url-Teilen, getrennt durch Punkte: einem Header mit dem Algorithmus, einem Payload mit den Claims und einer Signatur.
Header und Payload sind nur kodiert, nicht verschlüsselt. Wer das Token hat, kann sie lesen, genau das macht dieser Decoder. Vertrauenswürdig wird ein JWT durch die Signatur: Sie beweist, dass jemand mit dem Schlüssel das Token erstellt hat und es nicht verändert wurde.
Gängige Signaturalgorithmen
| Algorithmus | Schlüsseltyp | Prüfen mit |
|---|---|---|
| HS256 / HS384 / HS512 | Gemeinsames Secret (HMAC) | Demselben Secret, mit dem signiert wurde |
| RS256 / RS384 / RS512 | RSA-Schlüsselpaar | Dem öffentlichen RSA-Schlüssel des Ausstellers |
| PS256 / PS384 / PS512 | RSA-Schlüsselpaar (PSS-Padding) | Dem öffentlichen RSA-Schlüssel des Ausstellers |
| ES256 / ES384 / ES512 | Elliptische-Kurven-Schlüsselpaar | Dem öffentlichen EC-Schlüssel des Ausstellers |
| EdDSA | Ed25519-Schlüsselpaar | Dem öffentlichen Ed25519-Schlüssel des Ausstellers |
Wo du den öffentlichen Schlüssel findest
Identitätsanbieter wie Auth0, Okta, Microsoft Entra ID, Google und Keycloak veröffentlichen ihre Schlüssel als JWKS. Öffne die Adresse /.well-known/openid-configuration des Anbieters, folge dem Link jwks_uri und füge das ganze JSON hier ein. Der Schlüssel mit der passenden kid aus dem Token-Header wird automatisch gewählt.
Sicherheitstipps
- Füge keine Produktions-Tokens oder Secrets in Tools ein, die Daten an einen Server schicken. Diese Seite funktioniert nach dem Laden auch offline.
- Lege keine Passwörter oder andere Geheimnisse in den Payload, denn jeder mit dem Token kann ihn lesen.
- Prüfe auf dem Server immer Signatur, Aussteller, Zielgruppe und Ablauf, bevor du einem Token vertraust.
- Lehne Tokens mit alg none ab und lege den erwarteten Algorithmus im Code fest, statt ihn aus dem Token zu lesen.
Häufige Fragen
Ist es sicher, mein JWT hier einzufügen?
Ja. Das Token wird mit JavaScript in deinem Browser dekodiert und geprüft. Es wird weder hochgeladen noch protokolliert oder gespeichert. Behandle aktive Tokens trotzdem wie Passwörter.
Kann man ein JWT ohne Secret dekodieren?
Ja. Header und Payload sind nur Base64url-kodiertes JSON und für jeden lesbar. Das Secret oder der Schlüssel wird nur zum Prüfen der Signatur oder zum Erstellen neuer Tokens gebraucht.
Warum wird die Signatur als ungültig angezeigt?
Der Schlüssel passt nicht zu dem, mit dem signiert wurde, das Token wurde verändert, oder das Secret ist base64-kodiert und die Option dafür ist nicht aktiviert. Bei RS- und ES-Tokens brauchst du den öffentlichen Schlüssel des Ausstellers mit der richtigen kid.
Was bedeutet exp in einem JWT?
exp ist der Ablaufzeitpunkt als Unix-Zeitstempel in Sekunden. Danach muss das Token abgelehnt werden. iat ist der Ausstellungszeitpunkt, nbf der Zeitpunkt, vor dem es nicht akzeptiert werden darf.
Kann das Tool verschlüsselte Tokens (JWE) dekodieren?
Es erkennt JWE-Tokens mit fünf Teilen und zeigt ihren Header. Der Payload ist verschlüsselt und nur mit dem privaten Schlüssel des Empfängers lesbar.
Was ist der Unterschied zwischen HS256 und RS256?
HS256 nutzt ein gemeinsames Secret zum Signieren und Prüfen, jeder prüfende Dienst muss es kennen. RS256 signiert mit einem privaten und prüft mit einem öffentlichen Schlüssel, der gefahrlos geteilt werden kann.
Ähnliche Tools
Möchtest du etwas bauen?
Sag uns, was du erstellen möchtest.
Sag uns, was du entwickeln lassen möchtest - von einer einfachen Website bis zu einer kompletten App, KI-Lösung, Automatisierung oder individuellen Software.