Ist es sicher, mein JWT hier einzufügen?

Dekodierung und Prüfung laufen nur in Ihrem Browser, nichts wird an unseren Server gesendet. Behandeln Sie Produktions-Tokens trotzdem wie Passwörter: Wer ein gültiges Token hat, kann es bis zum Ablauf nutzen.

Ist ein JWT verschlüsselt?

Nein. Ein normales JWT (JWS) ist nur Base64URL-kodiert und signiert – jeder kann den Payload lesen. Legen Sie nie Passwörter oder Geheimnisse hinein. Die Signatur beweist nur, dass das Token nicht verändert wurde.

Warum kann ich RS256- oder ES256-Tokens nicht prüfen?

Diese Algorithmen werden mit dem öffentlichen Schlüssel des Ausstellers geprüft, nicht mit einem gemeinsamen Secret. Dieses Tool prüft HMAC-Algorithmen (HS256, HS384, HS512) mit dem eingegebenen Secret.

Was bedeuten exp, iat und nbf?

Es sind Unix-Zeitstempel in Sekunden: exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt und nbf der Zeitpunkt, vor dem das Token nicht akzeptiert werden darf.

JWT Decoder – JSON Web Token online dekodieren & prüfen

So dekodieren Sie ein JWT

Token (drei Base64URL-Teile, durch Punkte getrennt) in das Feld einfügen.
Dekodierten Header und Payload lesen. Zeitangaben erscheinen als Datum in Ihrer Zeitzone.
Status prüfen: abgelaufen, gültig oder noch nicht gültig.
Für HS256/HS384/HS512 das Secret eingeben und auf Prüfen klicken.

Aufbau eines JWT und Standard-Claims

Teil / Claim	Bedeutung	Beispiel
Header	Algorithmus und Token-Typ	{"alg":"HS256","typ":"JWT"}
Payload	Angaben (Claims) zu Nutzer und Token	{"sub":"123","exp":1767225600}
Signatur	Beweist, dass Header und Payload unverändert sind	HMACSHA256(header.payload, secret)
iss / sub / aud	Aussteller / Subjekt (Nutzer) / Empfänger	"https://auth.example.com"
exp / iat / nbf	Ablauf / Ausstellung / gültig ab (Unix-Sekunden)	1767225600

Häufige Fragen

Q. Ist es sicher, mein JWT hier einzufügen?: Dekodierung und Prüfung laufen nur in Ihrem Browser, nichts wird an unseren Server gesendet. Behandeln Sie Produktions-Tokens trotzdem wie Passwörter: Wer ein gültiges Token hat, kann es bis zum Ablauf nutzen.
Q. Ist ein JWT verschlüsselt?: Nein. Ein normales JWT (JWS) ist nur Base64URL-kodiert und signiert – jeder kann den Payload lesen. Legen Sie nie Passwörter oder Geheimnisse hinein. Die Signatur beweist nur, dass das Token nicht verändert wurde.
Q. Warum kann ich RS256- oder ES256-Tokens nicht prüfen?: Diese Algorithmen werden mit dem öffentlichen Schlüssel des Ausstellers geprüft, nicht mit einem gemeinsamen Secret. Dieses Tool prüft HMAC-Algorithmen (HS256, HS384, HS512) mit dem eingegebenen Secret.
Q. Was bedeuten exp, iat und nbf?: Es sind Unix-Zeitstempel in Sekunden: exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt und nbf der Zeitpunkt, vor dem das Token nicht akzeptiert werden darf.

JWT-Decoder

So dekodieren Sie ein JWT

Aufbau eines JWT und Standard-Claims

Häufige Fragen

Ähnliche Tools