Hoe decodeer ik een JWT zonder bibliotheek?

Plak de token in JWT-token. Deze moet drie door punten gescheiden segmenten hebben, waarna de onderdelen Header, Payload en Handtekening verschijnen. Voorbeeld laden vult een voorbeeldtoken in.

Betekent het decoderen van een JWT dat deze geldig is?

Nee. Decoderen leest alleen de claims, en iedereen kan een token met willekeurige claims maken. De tool waarschuwt dat claims onbetrouwbaar blijven totdat de handtekening, uitgever, doelgroep en het algoritme zijn geverifieerd.

Hoe kan ik controleren of mijn token is verlopen?

De claims exp, nbf en iat in de payload worden getoond met een status zoals Verlopen of Niet verlopen, en dit wordt ververst zolang het tabblad open is. Een veld Klokverschuiving (seconden) past de controle aan.

Kan ik de handtekening hier verifiëren?

Ja. Plak een HMAC-geheim, PEM-publieke sleutel of JWK / JWKS JSON onder Verifieer handtekening en klik op Verifiëren. HS-, RS- en ES-algoritmen met 256, 384 of 512 bits worden ondersteund.

Waarom zegt het dat de token ongeldig is?

Een JWT heeft precies drie door punten gescheiden segmenten nodig, en de header en payload moeten Base64URL-gecodeerde JSON zijn. Als een van beide faalt, meldt de tool welk deel fout is. Extra spaties of afgekapte kopieën zijn veelvoorkomende oorzaken.

Ja. Elke tool is gratis te gebruiken, zonder account en zonder creditcard. Het werk gebeurt op jouw apparaat in plaats van op onze servers, en daarom is het gratis te gebruiken.

Ja. Het werkt in actuele mobiele browsers op iOS en Android, zonder iets te installeren.

🔑

Gratis JWT-decoder

Decodeer en inspecteer elk JSON Web Token. Bekijk header, payload, vervaldatum en standaardclaims. Alles wordt lokaal in je browser uitgevoerd — tokens verlaten je apparaat nooit.

Draait in je browserGeen aanmelding, geen pop-upsGeen aanmelding vereistVoor altijd gratis

Werkt offline na het laden

JWT-token

🔒 Het token wordt volledig in uw browser gedecodeerd. Er wordt niets naar een server verzonden.

Veelvoorkomend gebruik

Debug Verificatieproblemen met JWT DecoderInspecteer JWT's van uw app voor foutopsporing van inlogfouten, machtigingsproblemen en tokenvervalsprobleme.
Inspecteer API Tokens bij het Testen van EndpointsDecodeer JWT's die door uw API worden geretourneerd om te verifiëren dat de juiste vorderingen, bereiken en machtigingen worden uitgegeven.
Beveiligingsaudit JWT TokensBekijk JWT's als onderdeel van een beveiligingsaudit: controleer op zwakke handtekeningsalgoritmen, buitensporige tokenevenduringen of gevoelige gegevens in de payload.
Inspecteer OAuth en OpenID Connect TokensDecodeer toegangstokens, ID tokens en refresh tokens van Google, Auth0, Okta, Microsoft en andere OAuth-providers.
Leer Hoe JWT Tokens WerkenDecodeer voorbeeld JWT's om de structuur te begrijpen: koptekst, lading en handtekening. Zie voorbeelden van echte vorderingen.

Hoe het werkt

De decoder is een zelfgeschreven parser zonder afhankelijkheden die volledig in je browser draait: hij splitst het token op punten, zet elk Base64URL-segment met tekenvervanging om naar gewone Base64 en vult het aan tot een veelvoud van vier, en roept daarna de native atob() en JSON.parse van de browser aan om de header- en payloadobjecten terug te krijgen. Optionele controle van de handtekening gebruikt de Web Crypto API (crypto.subtle.verify) — geen bibliotheek, geen server.

1
Base64URL decoderen
De tool splitst de JWT op de twee punten, wat drie segmenten geeft. Elk segment is Base64URL — dat - en _ gebruikt in plaats van + en / en de opvulling weglaat. De code zet die tekens terug en vult aan met =-tekens, en roept daarna de ingebouwde atob() van de browser aan om de bytes te decoderen.
2
JSON parsen en claims uitlezen
De gedecodeerde bytes gaan door JSON.parse om de header- en payloadobjecten te krijgen. De geregistreerde claims exp, iat en nbf worden als Unix-tijdstempels uitgelezen en omgezet naar Date-objecten; de verloopstatus wordt elke 20 seconden opnieuw gecontroleerd via setInterval, zodat een token dat verloopt terwijl het tabblad open is automatisch van geldig naar verlopen gaat. Relatieve tijden ('over 3 dagen', '2 uur geleden') worden opgemaakt met Intl.RelativeTimeFormat in de taal van je browser.
3
Weergave en optionele controle van de handtekening
De ruwe Base64URL-handtekening wordt naast de header en payload getoond. Als je een sleutel opgeeft, roept de tool crypto.subtle.importKey en crypto.subtle.verify aan om de handtekening lokaal te controleren. Hij accepteert gedeelde HMAC-geheimen (HS256/384/512), PEM-gecodeerde openbare RSA-sleutels (RS256/384/512) en openbare ECDSA-sleutels of JWK/JWKS-objecten (ES256/384/512) — bepaald door het alg-veld in de header.
4
Geen netwerkverzoeken
Elke stap — decoderen, rekenen met tijdstempels en cryptografische controle — draait in de JavaScript-engine van de browser. Het token en alle sleutelgegevens die je invoert verlaten je apparaat nooit.

JWT's bevatten vaak sessiegegevens, gebruikersidentiteit en autorisatiebereiken; deze tool decodeert en controleert ze optioneel volledig in je browser met atob() en de Web Crypto API, zodat noch het token noch een sleutel die je opgeeft ergens naartoe wordt verzonden.