JWT decoderen — online JWT-decoder

Wat is een JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Functies

Voorbeelden

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Zo gebruik je het

1. 1

   Plak je JWT om te decoderen

   Plak het volledige JWT — inclusief de drie door punten gescheiden segmenten — in het invoerveld. De decoder draait direct in je browser; je hoeft niet op een knop te klikken.

2. 2

   Lees de gedecodeerde header, payload en status

   Lees het algoritme en tokentype in de gedecodeerde header, de claims in de payload en de vervaldatum- en uitgiftedatum-chips bovenaan. Een verlopen token wordt rood gemarkeerd.

3. 3

   Kopieer de gedecodeerde uitvoer

   Gebruik de kopieerknop op elk paneel om de gedecodeerde header-JSON, payload-JSON of ruwe signature te kopiëren. Je token is nergens naartoe gestuurd — decoderen vond lokaal in je browser plaats.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Veelvoorkomende toepassingen

Authorization Bearer-tokens decoderen

Decodeer JWT-tokens uit Authorization: Bearer-headers om de claims, audience en vervaldatum te verifiëren die je backend ontvangt.

OAuth 2.0- en OIDC-tokens decoderen

Decodeer access tokens en ID-tokens die worden geretourneerd door autorisatieservers (Auth0, Okta, Google, Keycloak) tijdens OAuth 2.0- en OpenID Connect-integratie.

Verlopen sessies diagnosticeren

Bevestig in één seconde of een afgewezen token verlopen is, de verkeerde audience gebruikt of een klokafwijkingsprobleem heeft.

Sleutelrotatie controleren

Lees de kid (key ID) in de header om te verifiëren dat je JWKS-rotatie tokens uitgeeft die zijn ondertekend met de verwachte sleutel.

Beveiligingsreviews

Spoor tokens op die zijn ondertekend met alg:none, een ontbrekende exp hebben of PII lekken in de payload tijdens code-review en pentesting.

Microservice-tokens inspecteren

Decodeer service-to-service tokens binnen een mesh om te zien welke scopes en welk subject een downstream aanroep autoriseert.

Technische details

RFC 7519-conform

Verwerkt JWS-tokens conform RFC 7519 (JWT), RFC 7515 (JWS) en RFC 7518 (JWA) — alle geregistreerde algoritmen worden ondersteund voor decodering.

Base64URL-decodering

Gebruikt het URL-veilige Base64-alfabet (- en _ in plaats van + en /) zoals gedefinieerd in RFC 4648, met padding-tolerante verwerking.

Browser-native, nul afhankelijkheden

Gebouwd op de native browserfuncties atob, TextDecoder en JSON.parse — geen externe bibliotheken, geen netwerkoproepen, geen telemetrie.

Best practices

Vertrouw nooit zonder te verifiëren

Een decoder toont claims; hij bewijst ze niet. Verifieer de signature altijd server-side aan de hand van de sleutel van de uitgever voordat je een claim vertrouwt.

Wijs alg:none af in productie

Configureer je JWT-bibliotheek met een expliciete acceptatielijst van algoritmen. Accepteer alg:none nooit en wees alert op alg-mismatches bij sleutelrotatie.

Houd payloads beknopt

Zet identificatoren en kortlevende claims in het JWT; bewaar omvangrijke data achter een ondoorzichtig sessie-ID. Grote tokens kosten bandbreedte bij elk verzoek.

Veelgestelde vragen