Was steckt in diesem JWT-Token? Wie decodiere ich es?
Füge ein JWT-Token ein, das Tool zeigt Header, Payload und Signatur. Alles läuft in deinem Browser, das Token verlässt dein Gerät nie.
Wichtig, weil das bekannte jwt.io Tokens über die Leitung schickt. Ein Produktions-Token dort einzufügen ist eine Einladung zu Problemen. Hier passiert alles lokal.
Perfekt für Authorization-Debugging: Access-Tokens, Refresh-Tokens, ID-Tokens von Auth0, Cognito, Firebase, Keycloak.
So nutzt du das Tool
- Kopiere dein JWT-Token (beginnt mit "eyJ..." und hat 3 punktgetrennte Abschnitte).
- Füge es ins Textfeld ein, es wird automatisch geparst (kein Klick nötig).
- Rechts siehst du den Header (Algorithmus + Typ), links den Payload (Claims: sub, iss, exp, eigene Claims), darunter die Signatur.
- Pills oben zeigen: Algorithmus (HS256/RS256/...), Typ (JWT/JWE), Ausstellungsdatum (iat), Ablauf (exp). Abgelaufenes Token = exp-Pill wird rot.
Wann das hilfreich ist
Sieben typische Situationen, in denen ein JWT-Decoder dir hilft zu verstehen, was tatsächlich im Token steckt:
- Authorization-Debugging. Du erhältst ein Token vom Backend und willst die Claims sehen (Rolle, Organisation, Scopes).
- Auth0 / Cognito / Firebase / Keycloak. Das ID-Token decodieren zeigt alle Nutzerattribute.
- Ablauf-Check. Ist das Refresh-Token noch gültig? Die exp-Pill liefert die Antwort.
- Code-Review. Ein Kollege hat ein Token in den Chat gepackt, du willst sehen, was drin steckt, bevor du einen Vorfall meldest.
- Schulung. Sehen, wie JWT tatsächlich funktioniert, für Leute, die Authorization lernen.
- OAuth 2.0 / OpenID Connect. Bearer-Access-Tokens parsen.
- Audit. Zu lange Gültigkeit? Falsche Scopes? SHA-1-Signatur?
Fragen und Antworten
Nein. Zum Verifizieren von HS256 braucht es den Secret Key, RS256 braucht den Public Key. Der Decoder zeigt nur die Struktur. Zum Verifizieren oder Signieren im Browser nutze unseren JWT-Signierer / Verifizierer. Wenn du ein RSA-/EC-Schlüsselpaar zum Signieren brauchst, erzeuge eines mit dem JWT-Schlüsselpaar-Generator.