איך מפענחים JWT בלי ספרייה?

הדבק את הטוקן לתוך JWT Token. עליו להכיל שלושה מקטעים מופרדים בנקודות, והשדות Header, מטען (Payload) ו-Signature יופיעו. טען דוגמה ממלא טוקן לדוגמה.

האם פענוח JWT אומר שהוא תקף?

לא. הפענוח רק קורא את הטענות (claims), וכל אחד יכול ליצור טוקן עם כל טענה. הכלי מתריע שהטענות אינן מהימנות עד שהחתימה, המנפיק, הקהל והאלגוריתם מאומתים.

איך אפשר לבדוק אם הטוקן שלי פג תוקף?

הטענות exp, nbf ו-iat של המטען מוצגות עם סטטוס כמו פג תוקף או לא פג, והבדיקה מתרעננת כל עוד הלשונית פתוחה. שדה סטיית שעון (שניות) מכוונן את הבדיקה.

האם אפשר לאמת את החתימה כאן?

כן. הדבק מפתח סודי HMAC, מפתח ציבורי PEM או JSON של JWK / JWKS תחת Verify signature, ואז לחץ על אימות. אלגוריתמי HS, RS ו-ES עם 256, 384 או 512 סיביות נתמכים.

למה כתוב שהטוקן לא תקין?

JWT צריך בדיוק שלושה מקטעים מופרדים בנקודות, והכותרת והמטען חייבים להיות JSON מקודד ב-Base64URL. אם אחד מהם נכשל, הכלי מדווח איזה חלק שגוי. רווחים מיותרים או עותקים קטועים הם סיבות נפוצות.

האם זה באמת בחינם?

כן. כל כלי הוא חינמי לשימוש, ללא צורך בחשבון או בכרטיס אשראי. העבודה מתבצעת במכשיר שלך ולא בשרתים שלנו, וזה מה שמאפשר להפעיל אותו בחינם.

האם זה עובד בנייד?

כן. זה פועל בדפדפנים ניידים עדכניים ב-iOS וב-Android, ללא התקנה.

🔑

מפענח JWT בחינם

פענח ובחן כל JSON Web Token. צפה בכותרת, במטען, בפקיעת התוקף ובטענות הסטנדרטיות. הכול פועל מקומית בדפדפן שלך — האסימונים לעולם אינם עוזבים את המכשיר שלך.

פועל בדפדפן שלךללא הרשמה, ללא חלונות קופציםללא צורך בכניסהחינם לנצח

פועל לא-מקוון לאחר טעינה

JWT Token

🔒 ה-token מפוענח לגמרי בדפדפן. שום דבר אינו נשלח לשרת.

שימושים נפוצים

בעיות אימות ניפוי באמצעות JWT Decoderבדוק JWT מיישומך לניפוי כשלי התחברות, בעיות הרשאה ובעיות פקיעת טוקן.
בדוק את אסימוני ה-API בעת בדיקת נקודות קצהפענח JWT שהוחזר על ידי ה-API שלך כדי לוודא שטענות, היקפים והרשאות נכונים מונפקים.
ביקורת אבטחה אסימוני JWTבדוק JWT כחלק מביקורת אבטחה — בדוק אלגוריתמים חתימה חלשים, חיי טוקן יתר או נתונים רגישים בעומס.
בדוק אסימוני OAuth ו-OpenID Connectפענח אסימוני גישה, אסימוני ID ואסימוני רענון מ-Google, Auth0, Okta, Microsoft וספקי OAuth אחרים.
למד כיצד פועלים אסימוני JWTפענח דוגמה JWT כדי להבין את המבנה: כותרת, עומס וחתימה. ראה דוגמאות מהעולם האמיתי.

כיצד זה עובד

המפענח הוא מפרק כתוב-יד, ללא תלויות, שפועל כולו בדפדפן שלך: הוא מפצל את האסימון בנקודות, ממיר כל מקטע Base64URL ל-Base64 רגיל באמצעות החלפת מחרוזת ומרפד אותו לכפולה של ארבע, ואז קורא ל-atob() המקורי ול-JSON.parse של הדפדפן כדי לשחזר את אובייקטי הכותרת והמטען. אימות חתימה אופציונלי משתמש ב-Web Crypto API (crypto.subtle.verify) — ללא ספרייה, ללא שרת.

1
פענוח Base64URL
הכלי מפצל את ה-JWT בשני מפרידי הנקודה שלו, נותן שלושה מקטעים. כל מקטע הוא Base64URL — שמשתמש ב-- ו-_ במקום + ו-/ ומשמיט ריפוד. הקוד מחליף את התווים האלה בחזרה ומרפד עם סימני =, ואז קורא ל-atob() המובנה של הדפדפן כדי לפענח את הבייטים.
2
פענוח JSON וחילוץ טענות
הבייטים המפוענחים מועברים דרך JSON.parse כדי להפיק את אובייקטי הכותרת והמטען. טענות רשומות exp, iat ו-nbf מחולצות כחותמות זמן Unix ומומרות לאובייקטי Date; סטטוס תפוגה נבדק מחדש כל 20 שניות דרך setInterval כך שאסימון שפג תוקפו בזמן שהלשונית פתוחה הופך מתקף לפג-תוקף אוטומטית. חותמות זמן יחסיות ('בעוד 3 ימים', 'לפני שעתיים') מעוצבות עם Intl.RelativeTimeFormat באמצעות אזור הדפדפן שלך.
3
הצגת חתימה ואימות אופציונלי
מחרוזת חתימת Base64URL הגולמית מוצגת לצד הכותרת והמטען. אם אתה מספק מפתח, הכלי קורא ל-crypto.subtle.importKey ו-crypto.subtle.verify כדי לבדוק את החתימה מקומית. הוא מקבל סודות משותפים HMAC (HS256/384/512), מפתחות ציבוריים RSA מקודדי-PEM (RS256/384/512), ומפתחות ציבוריים ECDSA או אובייקטי JWK/JWKS (ES256/384/512) — נקבע על ידי שדה ה-alg בכותרת.
4
ללא בקשות רשת
כל שלב — פענוח, חשבון חותם-זמן, ואימות קריפטוגרפי — פועל בתוך מנוע JavaScript של הדפדפן. האסימון וכל חומר מפתח שתזין לעולם לא יוצאים מהמכשיר שלך.

JWT-ים נושאים לעתים קרובות אישורי סשן, זהות משתמש, והיקפי הרשאה; כלי זה מפענח ואופציונלית מאמת אותם כולו בדפדפן שלך באמצעות atob() ו-Web Crypto API, כך שלא האסימון ולא כל מפתח שתספק משודר לשום מקום.