Декодер JWT

Декодируйте JSON Web Token, изучайте заголовок и claims, проверяйте срок действия и подпись — конфиденциально.

Закодированный токен

Claims

Claim	Значение	Значение claim

100% конфиденциально: всё работает в вашем браузере, ничего не загружается на сервер.

Как декодировать JWT

Без регистрации и установки — работает прямо в браузере.

Шаг 1:Вставьте токен в поле ввода (префикс Bearer удаляется автоматически) или нажмите «Загрузить пример».
Шаг 2:Изучите декодированные заголовок и payload, таблицу claims и значки статуса срока действия.
Шаг 3:При необходимости введите HMAC-секрет или открытый ключ PEM и нажмите «Проверить подпись», чтобы убедиться в подлинности токена.

Вопросы о декодере JWT

Безопасно ли вставлять JWT в онлайн-декодер?

С этим инструментом — да: декодирование и проверка выполняются полностью в браузере, токен никуда не загружается. Тем не менее относитесь к боевым токенам как к паролям и не публикуйте их в тикетах, чатах и на скриншотах.

Проверяет ли декодирование подлинность JWT?

Нет. Декодировать JWT может кто угодно: заголовок и payload лишь закодированы в Base64URL, а не зашифрованы. Только проверка подписи правильным секретом или открытым ключом доказывает, что токен подлинный и не изменён.

Как проверить, истёк ли JWT?

Посмотрите на claim exp — Unix-время в секундах. Декодер переводит его в вашу локальную дату и время и показывает значок «Истёк» или «Не истёк», а также nbf (не ранее) и iat (время выпуска).

Какие алгоритмы подписи можно проверить?

HS256, HS384 и HS512 с общим секретом, а также RS256/384/512, PS256/384/512 и ES256/384/512 с открытым ключом в формате PEM — с помощью встроенного в браузер Web Crypto API.

Чем JWS отличается от JWE?

JWS (три части) подписан: его содержимое можно прочитать, но нельзя незаметно изменить. JWE (пять частей) зашифрован, и без ключа расшифровки payload прочитать нельзя. Этот инструмент декодирует токены JWS — именно они используются в большинстве access- и ID-токенов.

Что такое JWT и как его декодировать?

JSON Web Token (JWT) — компактная строка, безопасная для URL, которую OAuth 2.0, OpenID Connect и большинство современных API используют для передачи данных об идентификации и авторизации. Токен состоит из трёх частей в кодировке Base64URL, разделённых точками: заголовка с алгоритмом подписи, payload с claims вроде sub, iss, aud, iat и exp и подписи, подтверждающей, что токен не изменяли. Декодировать JWT — значит просто раскодировать из Base64URL первые две части и прочитать JSON внутри; именно это нужно при отладке входа в систему, API-шлюзов, истёкших сессий или проблем с правами доступа.

Этот бесплатный декодер JWT показывает заголовок и payload в виде отформатированного JSON, поясняет каждый стандартный claim, переводит временные метки exp, nbf и iat в понятные локальные даты и сразу показывает, действителен ли токен, истёк ли он или ещё не активен. Он также предупреждает о небезопасных токенах с alg none и может проверить подпись с помощью HMAC-секрета (HS256, HS384, HS512) или открытого ключа PEM (RS256, PS256, ES256 и более стойкие варианты) через встроенный в браузер Web Crypto API. Токены обрабатываются полностью на вашем устройстве и никогда не отправляются на наши серверы, поэтому можно безопасно изучать реальные access- и ID-токены.