Is het veilig om mijn JWT hier te plakken?

Decoderen en verifiëren gebeurt alleen in je browser en er wordt niets naar onze server gestuurd. Behandel productietokens toch als wachtwoorden: wie een geldig token heeft, kan het gebruiken tot het verloopt.

Is een JWT versleuteld?

Nee. Een gewone JWT (JWS) is alleen Base64URL-gecodeerd en ondertekend, dus iedereen kan de payload lezen. Zet er nooit wachtwoorden of geheimen in. De handtekening bewijst alleen dat het token niet is gewijzigd.

Waarom kan ik RS256- of ES256-tokens niet verifiëren?

Die worden geverifieerd met de publieke sleutel van de uitgever, niet met een gedeeld geheim. Deze tool verifieert HMAC-algoritmen (HS256, HS384, HS512) met het geheim dat je invult.

Wat betekenen exp, iat en nbf?

Het zijn Unix-tijdstempels in seconden: exp is wanneer het token verloopt, iat wanneer het is uitgegeven en nbf het moment waarvoor het niet geaccepteerd mag worden.

JWT decoder – JSON Web Tokens online decoderen en verifiëren

Zo decodeer je een JWT

Plak het token (drie Base64URL-delen gescheiden door punten) in het vak.
Lees de gedecodeerde header en payload. Tijden worden getoond als datum in jouw tijdzone.
Controleer de status: verlopen, geldig of nog niet geldig.
Voor HS256/HS384/HS512: vul het geheim in en klik op Verifiëren.

Opbouw van een JWT en standaardclaims

Deel / claim	Betekenis	Voorbeeld
Header	Algoritme en tokentype	{"alg":"HS256","typ":"JWT"}
Payload	Gegevens (claims) over gebruiker en token	{"sub":"123","exp":1767225600}
Handtekening	Bewijst dat header en payload niet zijn gewijzigd	HMACSHA256(header.payload, secret)
iss / sub / aud	Uitgever / subject (gebruiker) / ontvanger	"https://auth.example.com"
exp / iat / nbf	Verloop / uitgegeven / geldig vanaf (Unix-seconden)	1767225600

Veelgestelde vragen

Q. Is het veilig om mijn JWT hier te plakken?: Decoderen en verifiëren gebeurt alleen in je browser en er wordt niets naar onze server gestuurd. Behandel productietokens toch als wachtwoorden: wie een geldig token heeft, kan het gebruiken tot het verloopt.
Q. Is een JWT versleuteld?: Nee. Een gewone JWT (JWS) is alleen Base64URL-gecodeerd en ondertekend, dus iedereen kan de payload lezen. Zet er nooit wachtwoorden of geheimen in. De handtekening bewijst alleen dat het token niet is gewijzigd.
Q. Waarom kan ik RS256- of ES256-tokens niet verifiëren?: Die worden geverifieerd met de publieke sleutel van de uitgever, niet met een gedeeld geheim. Deze tool verifieert HMAC-algoritmen (HS256, HS384, HS512) met het geheim dat je invult.
Q. Wat betekenen exp, iat en nbf?: Het zijn Unix-tijdstempels in seconden: exp is wanneer het token verloopt, iat wanneer het is uitgegeven en nbf het moment waarvoor het niet geaccepteerd mag worden.

Gerelateerde tools

Laatst bijgewerkt: 14 november 2026