JWT-Decoder

  1. Home
  2. Generatoren
  3. JWT-Decoder

Beispiel: Das Tool arbeitet bereits mit einer Beispieleingabe. Ersetze sie durch deine eigene und drücke die Schaltfläche.

Header

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload (Claims)

{
  "sub": "user-42",
  "name": "Jane Doe",
  "iat": 1767225600,
  "exp": 1767229200
}
ClaimWertDatum (UTC)
Läuft abexp17672292002026-01-01 01:00:00abgelaufen
Ausgestelltiat17672256002026-01-01 00:00:00
Ein JSON Web Token dekodieren

Füge ein JWT ein, mit oder ohne das Präfix Bearer, und drücke Dekodieren. Du siehst Header und Payload als formatiertes JSON und die Zeit-Claims exp, nbf und iat als Datum in UTC.

Die Signatur wird nicht geprüft. Dieses Tool dekodiert nur: Es prüft nicht, ob ein Token echt ist, und fragt nie nach einem Schlüssel. Füge Tokens, die für ein Produktivsystem noch gültig sind, in kein Online-Tool ein – dekodiere sie lokal oder lass sie vorher ablaufen.

Wie ein JWT aufgebaut ist

Ein JSON Web Token (RFC 7519) besteht in seiner üblichen signierten Form (JWS, RFC 7515) aus drei base64url-Segmenten, die durch Punkte getrennt sind: header.payload.signature. Der Header nennt den Signaturalgorithmus (alg, zum Beispiel HS256 oder RS256) und den Tokentyp. Die Payload enthält die Claims: um wen es geht (sub), wer das Token ausgestellt hat (iss), für wen es bestimmt ist (aud) und wann es abläuft (exp).

Beispiel

Das Token, das beim Laden dieser Seite angezeigt wird, hat den Header {"alg":"HS256","typ":"JWT"} und die Payload {"sub":"user-42","name":"Jane Doe","iat":1767225600,"exp":1767229200}. iat und exp sind NumericDates, also Sekunden seit 1970-01-01 00:00 UTC: Das Token wurde am 2026-01-01 um 00:00 UTC ausgestellt und ist eine Stunde später abgelaufen. Seine Signatur ist ein Platzhalter. Der Decoder liest das Token trotzdem, denn beim Dekodieren spielt die Signatur keine Rolle.

Dekodieren ist nicht Verifizieren

Header und Payload sind nur base64url-kodiert, nicht verschlüsselt. Wer ein Token besitzt, kann sie lesen – in eine JWT-Payload gehören daher niemals Geheimnisse. Ob ein Token echt ist, entscheidet seine Signatur, die nur der Besitzer des Schlüssels prüfen kann – bei RS256 und ES256 jeder mit dem öffentlichen Schlüssel. Eine Anwendung muss Signatur, erwarteten Algorithmus und den Claim exp mit einer JWT-Bibliothek prüfen, bevor sie einem Claim vertraut.

Fünf Segmente?

Ein Token mit fünf Segmenten ist ein verschlüsseltes JWE. Seine Payload lässt sich ohne den Entschlüsselungsschlüssel nicht lesen, deshalb dekodiert dieses Tool es nicht.

Um ein einzelnes Segment von Hand zu dekodieren, nutze den Base64-Decoder; er akzeptiert das URL-sichere Alphabet ohne Padding.

Base64-, URL- und JWT-Tools
Base64 ZeichenketteBase64 dekodierenBase64 kodierenURL kodieren / dekodierenJWT-Decoder

Häufige Fragen

Prüft dieses Tool die Signatur des JWT?
Nein. Es dekodiert nur Header und Payload. Ob ein Token echt ist, lässt sich nur mit dem Schlüssel prüfen – durch die Anwendung, die das Token annimmt.
Ist es sicher, hier ein JWT einzufügen?
Header und Payload kann jeder lesen, der das Token besitzt, aber mit einem noch gültigen Token kann man sich anmelden. Füge gültige Produktiv-Tokens in kein Online-Tool ein; dekodiere sie lokal oder lass sie vorher ablaufen.
Was bedeuten exp, iat und nbf?
Es sind Zeitpunkte in Sekunden seit 1970-01-01 UTC. exp ist der Ablaufzeitpunkt, iat der Ausstellungszeitpunkt, nbf der Zeitpunkt, vor dem das Token nicht akzeptiert werden darf. Der Decoder zeigt sie als Datum.