Co jest w środku tego tokena JWT? Jak go zdekodować?
Wklejasz token JWT, tool pokazuje nagłówek, payload i sygnaturę. Wszystko w Twojej przeglądarce, token nigdy nie wychodzi z urządzenia.
To istotne, bo na konkurencyjnym jwt.io token jest wysyłany przez sieć. Wklejanie produkcyjnego tokena tam = zaproszenie do problemów. Tutaj wszystko lokalnie.
Idealne do debugowania autoryzacji: access tokeny, refresh tokeny, ID tokeny z Auth0, Cognito, Firebase, Keycloak.
Jak korzystać
- Skopiuj token JWT (zaczyna się od "eyJ..." i ma 3 sekcje oddzielone kropkami).
- Wklej do pola tekstowego, rozparsuje się automatycznie (bez klikania).
- Po prawej zobaczysz nagłówek (algorytm + typ), po lewej payload (claims: sub, iss, exp, custom claims), pod spodem sygnaturę.
- Pille na górze pokazują: algorytm (HS256/RS256/...), typ (JWT/JWE), datę wystawienia (iat), wygaśnięcia (exp). Token wygaśnięty = exp pill na czerwono.
Do czego się przydaje
Siedem typowych sytuacji, w których dekoder JWT pomaga ogarnąć, co naprawdę siedzi w tokenie:
- Debugowanie autoryzacji. Dostajesz token z backendu, chcesz zobaczyć claims (rola, organization, scopes).
- Auth0 / Cognito / Firebase / Keycloak. Rozkodowanie ID tokena pokazuje wszystkie atrybuty użytkownika.
- Sprawdzanie wygaśnięcia. Czy refresh token jest jeszcze ważny? Pill exp da odpowiedź.
- Code review. Kolega wkleił token w czacie, chcesz sprawdzić co jest w środku zanim zgłosisz incydent.
- Edukacja. Zobacz jak działa JWT dla osób uczących się autoryzacji.
- OAuth 2.0 / OpenID Connect. Parsowanie access tokenów Bearer.
- Audyt. Token ma za długi exp? Niewłaściwe scopes? Sygnatura SHA-1?
Pytania i odpowiedzi
Nie. Do weryfikacji HS256 potrzebny tajny klucz, do RS256: klucz publiczny. Decoder pokazuje tylko strukturę. Jeśli chcesz podpisać lub zweryfikować token w przeglądarce, użyj naszego narzędzia do podpisywania i weryfikacji JWT. Jeśli potrzebujesz pary kluczy RSA / EC do podpisu, wygeneruj ją w generatorze kluczy JWT.