Wie dekodiere ich ein JWT ohne Bibliothek?

Fügen Sie das Token in JWT-Token ein. Es muss drei durch Punkte getrennte Segmente haben, und die Abschnitte Header, Payload und Signatur erscheinen. Beispiel laden fügt ein Beispiel-Token ein.

Bedeutet das Dekodieren eines JWT, dass es gültig ist?

Nein. Das Dekodieren liest nur die Claims, und jeder kann ein Token mit beliebigen Claims erstellen. Das Tool warnt, dass Claims nicht vertrauenswürdig sind, bis Signatur, Aussteller, Empfänger und Algorithmus verifiziert sind.

Wie kann ich prüfen, ob mein Token abgelaufen ist?

Die Claims exp, nbf und iat des Payloads werden mit einem Status wie Abgelaufen oder Nicht abgelaufen angezeigt und aktualisieren sich, solange der Tab geöffnet ist. Ein Feld Zeitabweichung (Sekunden) passt die Prüfung an.

Kann ich die Signatur hier verifizieren?

Ja. Fügen Sie ein HMAC-Secret, einen öffentlichen PEM-Schlüssel oder JWK / JWKS JSON unter Signatur verifizieren ein und klicken Sie dann auf Überprüfen. HS-, RS- und ES-Algorithmen mit 256, 384 oder 512 Bit werden unterstützt.

Warum wird angezeigt, dass das Token ungültig ist?

Ein JWT benötigt genau drei durch Punkte getrennte Segmente, und Header und Payload müssen Base64URL-kodiertes JSON sein. Wenn eines davon fehlschlägt, meldet das Tool, welcher Teil falsch ist. Zusätzliche Leerzeichen oder abgeschnittene Kopien sind häufige Ursachen.

Ist es wirklich kostenlos?

Ja. Jedes Tool ist kostenlos nutzbar, ohne Konto und ohne Kreditkarte. Die Verarbeitung läuft auf Ihrem Gerät statt auf unseren Servern – genau deshalb können wir den Dienst kostenlos betreiben.

Funktioniert es auf Mobilgeräten?

Ja. Es läuft in aktuellen mobilen Browsern unter iOS und Android, ohne dass etwas installiert werden muss.

🔑

JWT-Decoder – kostenlos

Dekodieren und untersuchen Sie beliebige JSON Web Tokens. Header, Payload, Ablaufdatum und Standardansprüche anzeigen. Läuft lokal in Ihrem Browser – Token verlassen Ihr Gerät nicht.

Läuft in Ihrem BrowserKein Konto, keine Pop-upsKeine Anmeldung erforderlichFür immer kostenlos

Funktioniert nach dem Laden offline

JWT-Token

🔒 Das Token wird vollständig im Browser dekodiert. Nichts wird an einen Server gesendet.

Häufige Anwendungen

Debugging-Authentifizierungsprobleme mit JWT DecoderÜberprüfen Sie JWTs aus Ihrer App, um Login-Fehler, Berechtigungsprobleme und Token-Ablaufprobleme zu beheben.
Überprüfen Sie API-Tokens beim Testen von EndpunktenDekodieren Sie JWTs, die von Ihrer API zurückgegeben werden, um zu überprüfen, dass die richtigen Claims, Scopes und Berechtigungen ausgestellt werden.
Sicherheitsprüfung JWT-TokensÜberprüfen Sie JWTs als Teil einer Sicherheitsprüfung. Überprüfen Sie schwache Signaturalgorithmen, übermäßige Token-Lebenszeiten oder sensible Daten in der Payload.
OAuth- und OpenID Connect-Tokens überprüfenDekodieren Sie Zugriffstokens, ID-Tokens und Refresh-Tokens von Google, Auth0, Okta, Microsoft und anderen OAuth-Anbietern.
Erfahren Sie, wie JWT-Tokens funktionierenDekodieren Sie Beispiel-JWTs, um die Struktur zu verstehen: Header, Payload und Signatur. Siehe Beispiele aus der realen Welt.

So funktioniert es

Der Decoder ist ein selbst geschriebener Parser ohne Abhängigkeiten, der vollständig in Ihrem Browser läuft: Er teilt das Token an den Punkten, wandelt jedes Base64URL-Segment per Zeichenersetzung in normales Base64 um, füllt es auf ein Vielfaches von vier auf und ruft dann die nativen Browserfunktionen atob() und JSON.parse auf, um Header- und Payload-Objekte zu erhalten. Die optionale Signaturprüfung nutzt die Web Crypto API (crypto.subtle.verify) – keine Bibliothek, kein Server.

1
Base64URL-Dekodierung
Das Tool teilt das JWT an seinen beiden Punkten in drei Segmente. Jedes Segment ist Base64URL – das - und _ statt + und / verwendet und auf Padding verzichtet. Der Code tauscht diese Zeichen zurück, füllt mit =-Zeichen auf und ruft dann das integrierte atob() des Browsers auf, um die Bytes zu dekodieren.
2
JSON-Parsing und Auslesen der Claims
Die dekodierten Bytes werden durch JSON.parse geleitet, um Header- und Payload-Objekte zu erhalten. Die registrierten Claims exp, iat und nbf werden als Unix-Zeitstempel ausgelesen und in Date-Objekte umgewandelt; der Ablaufstatus wird per setInterval alle 20 Sekunden erneut geprüft, sodass ein Token, das bei geöffnetem Tab abläuft, automatisch von gültig auf abgelaufen wechselt. Relative Zeitangaben („in 3 Tagen“, „vor 2 Stunden“) werden mit Intl.RelativeTimeFormat in der Sprache Ihres Browsers formatiert.
3
Signaturanzeige und optionale Prüfung
Die rohe Base64URL-Signatur wird neben Header und Payload angezeigt. Wenn Sie einen Schlüssel angeben, ruft das Tool crypto.subtle.importKey und crypto.subtle.verify auf, um die Signatur lokal zu prüfen. Es akzeptiert gemeinsame HMAC-Geheimnisse (HS256/384/512), PEM-kodierte öffentliche RSA-Schlüssel (RS256/384/512) sowie öffentliche ECDSA-Schlüssel oder JWK/JWKS-Objekte (ES256/384/512) – bestimmt durch das alg-Feld im Header.
4
Keine Netzwerkanfragen
Jeder Schritt – Dekodierung, Zeitstempelberechnung und kryptografische Prüfung – läuft in der JavaScript-Engine des Browsers. Das Token und eingegebenes Schlüsselmaterial verlassen nie Ihr Gerät.

JWTs enthalten oft Sitzungsdaten, Benutzeridentität und Berechtigungen; dieses Tool dekodiert und prüft sie optional vollständig in Ihrem Browser mit atob() und der Web Crypto API, sodass weder das Token noch ein angegebener Schlüssel irgendwohin übertragen wird.

JWT-Decoder – kostenlos

Häufige Anwendungen

So funktioniert es

Ähnliche Tools

URL-Encoder & -Decoder

UUID-Inspektor

Base64-Encoder & -Decoder

Häufige Fragen