JWT-Dekodierer

Was ist ein JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Hauptfunktionen

Beispiele

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Anleitung

1. 1

   JWT zum Dekodieren einfügen

   Fügen Sie den vollständigen Token zum Dekodieren — einschließlich der drei durch Punkte getrennten Segmente — in das Eingabefeld ein. Der Dekodierer läuft sofort in Ihrem Browser; Sie müssen keine Schaltfläche klicken.

2. 2

   Dekodierten Header, Payload und Status lesen

   Lesen Sie Algorithmus und Token-Typ im dekodierten Header, die Claims im dekodierten Payload sowie die Chips für Ablauf- und Ausstellungszeit oben. Ein abgelaufener Token wird rot gekennzeichnet.

3. 3

   Dekodierte Ausgabe kopieren

   Verwenden Sie die Kopieren-Schaltfläche auf jedem Panel, um das dekodierte Header-JSON, das dekodierte Payload-JSON oder die rohe Signatur zu kopieren. Ihr Token wurde niemals versendet — die Dekodierung erfolgte lokal in Ihrem Browser.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Häufige Anwendungsfälle

Authorization-Bearer-Token dekodieren

Dekodieren Sie JWT-Token aus Authorization: Bearer-Headern, um die Claims, Audience und Ablaufzeit zu überprüfen, die Ihr Backend empfängt.

OAuth 2.0- und OIDC-Token dekodieren

Dekodieren Sie Access-Token und ID-Token, die von Authorization-Servern (Auth0, Okta, Google, Keycloak) während der OAuth-2.0- und OpenID-Connect-Integration zurückgegeben werden.

Diagnose abgelaufener Sitzungen

Bestätigen Sie in einer Sekunde, ob ein abgelehnter Token abgelaufen ist, die falsche Audience verwendet oder ein Uhrzeitversatzproblem hat.

Überprüfung der Schlüsselrotation

Lesen Sie die kid (Key-ID) im Header, um zu verifizieren, dass Ihre JWKS-Rotation Token mit dem erwarteten Schlüssel ausgibt.

Sicherheitsüberprüfungen

Erkennen Sie Token, die mit alg:none signiert sind, fehlendes exp haben oder PII im Payload preisgeben — bei Code-Review und Pentest.

Inspektion von Microservice-Token

Dekodieren Sie Service-zu-Service-Token innerhalb eines Mesh, um zu sehen, welche Scopes und welchen Subject ein nachgelagerter Aufruf autorisiert.

Technische Details

RFC-7519-konform

Verarbeitet JWS-Token, die RFC 7519 (JWT), RFC 7515 (JWS) und RFC 7518 (JWA) entsprechen — alle registrierten Algorithmen werden zur Dekodierung unterstützt.

Base64URL-Dekodierung

Verwendet das URL-sichere Base64-Alphabet (- und _ statt + und /), das in RFC 4648 definiert ist, mit paddingtolerantem Parsing.

Browser-nativ, keine Abhängigkeiten

Aufgebaut auf den Browser-APIs atob, TextDecoder und JSON.parse — keine externen Bibliotheken, keine Netzwerkaufrufe, keine Telemetrie.

Best Practices

Niemals ohne Verifizierung vertrauen

Ein Dekodierer zeigt Claims; er beweist sie nicht. Verifizieren Sie die Signatur stets serverseitig gegen den Schlüssel des Ausstellers, bevor Sie einem Claim vertrauen.

alg:none in Produktion ablehnen

Konfigurieren Sie Ihre JWT-Bibliothek mit einer expliziten Allowlist von Algorithmen. Akzeptieren Sie niemals alg:none und seien Sie misstrauisch bei alg-Abweichungen während der Schlüsselrotation.

Payloads schlank halten

Legen Sie Identifikatoren und kurzlebige Claims in den JWT; halten Sie umfangreiche Daten hinter einer undurchsichtigen Session-ID. Große Token kosten bei jeder Anfrage Bandbreite.

Häufig gestellte Fragen