Er det trygt å lime inn JWT-en min her?

Dekoding og verifisering skjer bare i nettleseren, og ingenting sendes til serveren vår. Behandle likevel produksjonstokener som passord: den som har et gyldig token, kan bruke det til det utløper.

Nei. En vanlig JWT (JWS) er bare Base64URL-kodet og signert, så alle kan lese payloaden. Legg aldri passord eller hemmeligheter i den. Signaturen beviser bare at tokenet ikke er endret.

Hvorfor kan jeg ikke verifisere RS256- eller ES256-tokener?

De verifiseres med utstederens offentlige nøkkel, ikke en delt hemmelighet. Dette verktøyet verifiserer HMAC-algoritmer (HS256, HS384, HS512) med hemmeligheten du skriver inn.

Hva betyr exp, iat og nbf?

Det er Unix-tidsstempler i sekunder: exp er når tokenet utløper, iat når det ble utstedt, og nbf tidspunktet det ikke skal godtas før.

JWT-dekoder – dekod og verifiser JSON Web Tokens på nett

Slik dekoder du en JWT

Lim inn tokenet (tre Base64URL-deler skilt med punktum) i feltet.
Les dekodet header og payload. Tidspunkter vises som datoer i din tidssone.
Sjekk status: utløpt, gyldig eller ikke gyldig ennå.
For HS256/HS384/HS512: skriv inn hemmeligheten og klikk Verifiser.

JWT-struktur og standard-claims

Del / claim	Betydning	Eksempel
Header	Algoritme og tokentype	{"alg":"HS256","typ":"JWT"}
Payload	Opplysninger om bruker og token	{"sub":"123","exp":1767225600}
Signatur	Beviser at header og payload ikke er endret	HMACSHA256(header.payload, secret)
iss / sub / aud	Utsteder / subjekt (bruker) / mottaker	"https://auth.example.com"
exp / iat / nbf	Utløp / utstedt / gyldig fra (Unix-sekunder)	1767225600

Ofte stilte spørsmål

Q. Er det trygt å lime inn JWT-en min her?: Dekoding og verifisering skjer bare i nettleseren, og ingenting sendes til serveren vår. Behandle likevel produksjonstokener som passord: den som har et gyldig token, kan bruke det til det utløper.
Q. Er en JWT kryptert?: Nei. En vanlig JWT (JWS) er bare Base64URL-kodet og signert, så alle kan lese payloaden. Legg aldri passord eller hemmeligheter i den. Signaturen beviser bare at tokenet ikke er endret.
Q. Hvorfor kan jeg ikke verifisere RS256- eller ES256-tokener?: De verifiseres med utstederens offentlige nøkkel, ikke en delt hemmelighet. Dette verktøyet verifiserer HMAC-algoritmer (HS256, HS384, HS512) med hemmeligheten du skriver inn.
Q. Hva betyr exp, iat og nbf?: Det er Unix-tidsstempler i sekunder: exp er når tokenet utløper, iat når det ble utstedt, og nbf tidspunktet det ikke skal godtas før.

Relaterte verktøy

Sist oppdatert: 14. november 2026