Hur avkodar jag en JWT utan ett bibliotek?

Klistra in token i JWT-token. Den måste ha tre punktseparerade segment, och sektionerna Header, Payload och Signature visas. Ladda exempel fyller i en exempeltoken.

Betyder avkodning av en JWT att den är giltig?

Nej. Avkodning läser bara claimsen, och vem som helst kan skapa en token med vilka claims som helst. Verktyget varnar för att claims förblir obetrodda tills signaturen, utgivaren, mottagaren och algoritmen har verifierats.

Hur kan jag kontrollera om min token har gått ut?

Payloadens exp-, nbf- och iat-claims visas med en status som Utgången eller Inte utgången, och den uppdateras medan fliken är öppen. Ett fält för Klockskew (sekunder) justerar kontrollen.

Kan jag verifiera signaturen här?

Ja. Klistra in en HMAC-hemlighet, PEM-publik nyckel eller JWK / JWKS JSON under Verifiera signatur och klicka sedan på Verifiera. Algoritmerna HS, RS och ES med 256, 384 eller 512 bitar stöds.

Varför står det att token är ogiltig?

En JWT behöver exakt tre punktseparerade segment, och header och payload måste vara Base64URL-kodad JSON. Om något av detta misslyckas rapporterar verktyget vilken del som är fel. Extra mellanslag eller trunkerade kopior är vanliga orsaker.

Är det verkligen gratis?

Ja. Alla verktyg är gratis att använda, utan konto och utan kreditkort. Arbetet utförs på din enhet istället för på våra servrar, vilket är det som gör det gratis att köra.

Fungerar det på mobil?

Ja. Det fungerar i moderna mobilwebbläsare på iOS och Android, utan installation.

🔑

Gratis JWT-avkodare

Avkoda och inspektera valfri JSON Web Token. Visa huvud, nyttolast, förfallodatum och standardanspråk. Allt körs lokalt i din webbläsare — token lämnar aldrig din enhet.

Körs i din webbläsareIngen registrering, inga popup-fönsterIngen inloggning krävsGratis för alltid

Fungerar offline när den väl lästs in

JWT-token

🔒 Token avkodas helt i din webbläsare. Ingenting skickas till någon server.

Vanliga användningar

Avlusa autentiseringsproblem med JWT-avkodareInspektera JWT:er från din app för att avlusa inloggningsfel, behörighetsproblem och problem med tokenförfallelse.
Inspektera API-token medan du testar slutpunkterAvkoda JWT:er som returneras av ditt API för att verifiera att rätt påstår, omfattning och behörigheter utfärdas.
Säkerhetsrevisions JWT-tokenGranska JWT:er som del av en säkerhetsrevision — kontrollera svaga signeringsalgoritmer, överdriven tokenlivstid eller känslig data i nyttolasten.
Inspektera OAuth och OpenID Connect-tokenAvkoda åtkomsttoken, ID-token och uppdateringstoken från Google, Auth0, Okta, Microsoft och andra OAuth-leverantörer.
Lär dig hur JWT-token fungerarAvkoda exempel JWT:er för att förstå strukturen: huvud, nyttolast och signatur. Se verkliga påståndeexempel.

Så här fungerar det

Avkodaren är en handskriven tolk utan beroenden som körs helt i din webbläsare: den delar upp token på punkterna, omvandlar varje Base64URL-segment till vanlig Base64 med strängersättning och fyller ut den till en multipel av fyra, och anropar sedan webbläsarens inbyggda atob() och JSON.parse för att återskapa huvud- och nyttolastobjekten. Valfri signaturverifiering använder Web Crypto API:et (crypto.subtle.verify) — inget bibliotek, ingen server.

1
Base64URL-avkodning
Verktyget delar upp JWT:n vid sina två punktavgränsare, vilket ger tre segment. Varje segment är Base64URL — som använder - och _ istället för + och / och utelämnar utfyllnad. Koden byter tillbaka de tecknen och fyller ut med =-tecken, och anropar sedan webbläsarens inbyggda atob() för att avkoda byten.
2
JSON-tolkning och utvinning av claims
De avkodade byten skickas genom JSON.parse för att skapa huvud- och nyttolastobjekten. Registrerade claims exp, iat och nbf extraheras som Unix-tidsstämplar och omvandlas till Date-objekt; utgångsstatus kontrolleras på nytt var 20:e sekund via setInterval så att en token som löper ut medan fliken är öppen automatiskt växlar från giltig till utgången. Relativa tidsstämplar ('om 3 dagar', '2 timmar sedan') formateras med Intl.RelativeTimeFormat med din webbläsares språkinställning.
3
Signaturvisning och valfri verifiering
Den råa Base64URL-signatursträngen visas tillsammans med huvudet och nyttolasten. Om du anger en nyckel anropar verktyget crypto.subtle.importKey och crypto.subtle.verify för att kontrollera signaturen lokalt. Det accepterar delade HMAC-hemligheter (HS256/384/512), PEM-kodade RSA-publika nycklar (RS256/384/512), och ECDSA-publika nycklar eller JWK/JWKS-objekt (ES256/384/512) — bestämt av alg-fältet i huvudet.
4
Inga nätverksförfrågningar
Varje steg — avkodning, tidsstämpelmatematik och kryptografisk verifiering — körs inuti webbläsarens JavaScript-motor. Token och allt nyckelmaterial du anger lämnar aldrig din enhet.

JWT:er bär ofta sessionsuppgifter, användaridentitet och behörighetsomfång; det här verktyget avkodar och valfritt verifierar dem helt i din webbläsare med atob() och Web Crypto API:et, så varken token eller någon nyckel du anger skickas någonstans.