Was macht der JWT-Decoder?

Er trennt und dekodiert die drei Teile eines JSON Web Tokens — Header, Payload und Signatur — und zeigt den Inhalt von Header und Payload als lesbares, farbcodiertes JSON sowie den Ablauf- und Signaturstatus.

Wie funktioniert die Dekodierung?

Header und Payload eines JWT sind nur Base64URL (keine Verschlüsselung). Das Tool dekodiert diese Teile zu JSON und zeigt sie an. Die Signatur bleibt kodiert, da sie ein kryptografischer Hash zur Integritätsprüfung ist.

Ist es sicher, mein Token hier einzufügen?

Ja. Die gesamte Dekodierung erfolgt lokal in deinem Browser per JavaScript. Kein Token, Secret oder Daten werden an ToolboxHub-Server gesendet. Vermeide dennoch, gültige Produktions-Tokens öffentlich zu teilen.

Wie prüfe ich die Signatur?

Bei mit HMAC signierten Tokens (HS256, HS384 oder HS512) gib das Secret in das entsprechende Feld ein: Das Tool berechnet die Signatur lokal neu und zeigt an, ob sie übereinstimmt. Bei asymmetrischen Algorithmen (RS256, ES256 usw.) wäre der öffentliche Schlüssel nötig; das wird hier nicht durchgeführt.

Woran erkenne ich, ob das Token abgelaufen ist?

Das Tool liest die Claims exp (Ablauf) und nbf (not before) aus dem Payload, wandelt sie in Datum/Uhrzeit deiner Zeitzone um und zeigt ein Abzeichen, ob das Token gültig, abgelaufen oder noch nicht gültig ist.

Welche Algorithmen werden unterstützt?

Die Dekodierung funktioniert mit jedem JWT, unabhängig vom Algorithmus. Die integrierte Signaturprüfung deckt die HMAC-Algorithmen ab: HS256, HS384 und HS512. Asymmetrische Algorithmen werden dekodiert, aber nicht geprüft.

Warum ist der Payload nicht verschlüsselt?

Ein Standard-JWT ist signiert, nicht verschlüsselt: Jeder mit dem Token kann den Payload lesen. Die Signatur garantiert, dass der Inhalt nicht verändert wurde, verbirgt ihn aber nicht. Deshalb solltest du niemals sensible Daten (Passwörter, Karten) in den Payload eines JWT schreiben.

Kostenloser JWT-Decoder Online: Header, Payload und Signatur

Über den JWT-Decoder

Füge ein JSON Web Token (JWT) ein und sieh seine drei Teile in einer strukturierten, farbcodierten Ansicht: den Header (Algorithmus und Typ), den Payload (Claims, Ablauf und Scopes) und die Signatur. Die gesamte Dekodierung erfolgt lokal in deinem Browser — das Token wird an keinen Server gesendet. Bei HMAC-Tokens kannst du das Secret eingeben und die Signatur prüfen. Zum Erzeugen von Hashes nutze unseren Hash-Generator.

In 3 Schritten dekodieren

Füge das JWT in das Eingabefeld ein.
Sieh Header, Payload und Signatur automatisch dekodiert.
Prüfe den Ablauf und gib bei HMAC-Tokens das Secret ein, um die Signatur zu validieren.

Aufbau eines JWT

Ein JWT besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: Header.Payload.Signatur.

Teil	Farbe	Bedeutung
Header	Rot	Metadaten: Signaturalgorithmus (alg) und Typ (typ).
Payload	Blau	Die Claims: Daten über den Benutzer, Berechtigungen, Ausstellung und Ablauf.
Signatur	Türkis	Sichert die Integrität des Tokens; berechnet über Header und Payload mit einem geheimen Schlüssel.

Registrierte JWT-Claims

Die folgenden Claims sind durch RFC 7519 standardisiert. Weitere (benutzerdefinierte) Claims können ebenfalls im Payload erscheinen.

Claim	Name	Bedeutung
`iss`	Aussteller	Wer das Token ausgestellt hat (issuer).
`sub`	Subjekt	Subjekt des Tokens, meist die Benutzer-ID (subject).
`aud`	Zielgruppe	Empfänger, für die das Token bestimmt ist (audience).
`exp`	Läuft ab am	Ablaufzeitpunkt — danach sollte das Token nicht mehr akzeptiert werden (expiration).
`nbf`	Gültig ab	Zeitpunkt, vor dem das Token nicht gültig ist (not before).
`iat`	Ausgestellt am	Zeitpunkt, zu dem das Token ausgestellt wurde (issued at).
`jti`	Token-ID	Eindeutige Kennung des Tokens (JWT ID).

JWT-Decoder