JWT-Decoder
JSON Web Tokens dekodieren, Header und Payload-Claims prüfen, Ablauf kontrollieren und Signaturen verifizieren – privat.
Header
Payload
Claims
| Claim | Wert | Bedeutung |
|---|
Signatur prüfen
Dekodieren beweist nicht, dass ein Token echt ist. Geben Sie das Secret oder den Public Key ein, um die Signatur lokal im Browser zu prüfen.
100 % privat: Alles läuft in Ihrem Browser, nichts wird hochgeladen.
So dekodieren Sie ein JWT
Ohne Anmeldung und ohne Installation – funktioniert direkt im Browser.
- Schritt 1:Fügen Sie das Token in das Eingabefeld ein (ein Bearer-Präfix wird automatisch entfernt) oder klicken Sie auf Beispiel laden.
- Schritt 2:Lesen Sie dekodierten Header und Payload, die Claim-Tabelle und die Status-Badges zum Ablauf.
- Schritt 3:Geben Sie optional das HMAC-Secret oder den PEM-Public-Key ein und klicken Sie auf Signatur prüfen, um die Echtheit zu bestätigen.
JWT-Decoder – häufige Fragen
Ist es sicher, ein JWT in einen Online-Decoder einzufügen?
Bei diesem Tool ja: Dekodierung und Prüfung laufen vollständig im Browser, das Token wird nie hochgeladen. Behandeln Sie Produktiv-Tokens trotzdem wie Passwörter und teilen Sie sie nicht in Tickets, Chats oder Screenshots.
Wird ein JWT beim Dekodieren verifiziert?
Nein. Jeder kann ein JWT dekodieren, da Header und Payload nur Base64URL-kodiert und nicht verschlüsselt sind. Nur die Signaturprüfung mit dem richtigen Secret oder Public Key beweist, dass das Token echt und unverändert ist.
Wie prüfe ich, ob ein JWT abgelaufen ist?
Sehen Sie sich den Claim exp an, einen Unix-Zeitstempel in Sekunden. Der Decoder rechnet ihn in Ihr lokales Datum und Ihre Uhrzeit um und zeigt ein Badge Abgelaufen oder Nicht abgelaufen, zusammen mit nbf (nicht vor) und iat (ausgestellt am).
Welche Signaturalgorithmen können geprüft werden?
HS256, HS384 und HS512 mit gemeinsamem Secret sowie RS256/384/512, PS256/384/512 und ES256/384/512 mit einem PEM-kodierten Public Key – über die integrierte Web Crypto API des Browsers.
Was ist der Unterschied zwischen JWS und JWE?
Ein JWS (drei Teile) ist signiert: Der Inhalt ist lesbar, aber fälschungssicher. Ein JWE (fünf Teile) ist verschlüsselt, sodass die Payload ohne Entschlüsselungsschlüssel nicht lesbar ist. Dieses Tool dekodiert JWS-Tokens, wie sie für die meisten Access- und ID-Tokens verwendet werden.
Was ist ein JWT und wie dekodiert man es?
Ein JSON Web Token (JWT) ist ein kompakter, URL-sicherer String, mit dem OAuth 2.0, OpenID Connect und die meisten modernen APIs Identitäts- und Berechtigungsdaten übertragen. Er besteht aus drei Base64URL-kodierten, durch Punkte getrennten Teilen: einem Header mit dem Signaturalgorithmus, einer Payload mit Claims wie sub, iss, aud, iat und exp sowie einer Signatur, die belegt, dass das Token nicht manipuliert wurde. Ein JWT zu dekodieren heißt, die ersten beiden Teile per Base64URL zu dekodieren und das enthaltene JSON zu lesen – genau das brauchen Sie beim Debuggen von Login-Flows, API-Gateways, abgelaufenen Sessions oder Berechtigungsproblemen.
Dieser kostenlose JWT-Decoder zeigt Header und Payload als formatiertes JSON, erklärt jeden Standard-Claim, rechnet Zeitstempel wie exp, nbf und iat in lesbare lokale Daten um und zeigt auf einen Blick, ob das Token gültig, abgelaufen oder noch nicht aktiv ist. Er warnt vor unsicheren alg-none-Tokens und kann die Signatur mit einem HMAC-Secret (HS256, HS384, HS512) oder einem PEM-Public-Key (RS256, PS256, ES256 und stärkere Varianten) über die Web Crypto API des Browsers prüfen. Tokens werden vollständig auf Ihrem Gerät verarbeitet und nie an unsere Server gesendet – so können Sie echte Access- und ID-Tokens gefahrlos untersuchen.