Декодер JWT

Что такое JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Ключевые возможности

Примеры

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Как использовать

1. 1

   Вставьте JWT для декодирования

   Вставьте полный JWT — все три сегмента, разделённые точками — в поле ввода. Декодер запускается мгновенно в браузере; кнопку нажимать не нужно.

2. 2

   Прочитайте header, payload и статус

   Прочитайте алгоритм и тип токена в декодированном header, claims в payload и плашки exp / iat вверху. Истёкший токен помечен красным.

3. 3

   Скопируйте декодированный вывод

   Используйте кнопку «Скопировать» на каждой панели, чтобы скопировать JSON header, JSON payload или сырой signature. Токен никуда не отправлялся — декодирование прошло локально в браузере.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Типичные сценарии

Декодирование Authorization Bearer токенов

Декодируйте JWT-токены из заголовков Authorization: Bearer, чтобы проверить claims, audience и срок действия, которые получает ваш бэкенд.

Декодирование OAuth 2.0 и OIDC токенов

Декодируйте access-токены и ID-токены, возвращаемые серверами авторизации (Auth0, Okta, Google, Keycloak), при интеграции OAuth 2.0 и OpenID Connect.

Диагностика истёкших сессий

За секунду подтвердите, истёк ли отвергнутый токен, неверный ли у него audience или есть ли расхождение часов.

Проверка ротации ключей

Прочитайте kid (key ID) в header, чтобы убедиться, что ротация JWKS выдаёт токены, подписанные ожидаемым ключом.

Security review

Замечайте токены с alg:none, без exp или с утечкой PII в payload при code review и pentest.

Изучение токенов микросервисов

Декодируйте сервис-в-сервис токены внутри mesh, чтобы увидеть, какие scope и subject авторизуют downstream-вызов.

Технические детали

Соответствие RFC 7519

Поддерживает JWS-токены по RFC 7519 (JWT), RFC 7515 (JWS) и RFC 7518 (JWA) — все зарегистрированные алгоритмы декодируются.

Декодирование Base64URL

Использует URL-безопасный алфавит Base64 (- и _ вместо + и /), определённый в RFC 4648, с разбором, толерантным к padding.

Браузерный, без зависимостей

Построен на atob, TextDecoder и JSON.parse браузера — без внешних библиотек, без сетевых вызовов, без телеметрии.

Лучшие практики

Никогда не доверяйте без проверки

Декодер показывает claims; не доказывает их. Всегда проверяйте signature на сервере по ключу эмитента, прежде чем доверять любому claim.

Отвергайте alg:none в production

Настройте библиотеку JWT с явным списком разрешённых алгоритмов. Никогда не принимайте alg:none и относитесь подозрительно к несовпадениям alg при ротации ключей.

Держите payload компактным

В JWT кладите идентификаторы и короткоживущие claims; объёмные данные держите за непрозрачным session ID. Большие токены дороги в трафике на каждом запросе.

Часто задаваемые вопросы