JWT-Decoder

Teilt ein JSON Web Token an seinen zwei Punkten in Header, Payload und Signatur auf, decodiert die Header- und Payload-Segmente per Base64URL und zeigt jedes als formatiertes, lesbares JSON an.

Eine vollständige JWT-Zeichenfolge in das Eingabefeld einfügen; der decodierte Header und Payload erscheinen automatisch in zwei separaten Feldern darunter. Das Signatursegment wird unverändert angezeigt, da eine Decodierung keinen sinnvollen Text ergäbe.

Ein Token, der mit `eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.signature` beginnt, wird zu einem Header `{"alg":"HS256"}` und einem Payload `{"sub":"1234"}` decodiert — das Feld `alg` benennt den Signaturalgorithmus, `sub` ist ein Standard-Claim, der das Subjekt des Tokens identifiziert.

Sie zeigt die Claims des Tokens — etwa `exp` (Ablaufzeit), `iat` (Ausstellungszeit) und beliebige von einer Anwendung hinzugefügte Felder —, prüft aber nicht die Signatur; sie kann also nicht sagen, ob der Token echt oder manipuliert ist. Jeder kann ein JWT mit beliebigem Payload erstellen, ohne den Signaturschlüssel zu kennen.

Die Signatur eines JWT zu prüfen erfordert entweder den geheimen Schlüssel (bei HMAC-Algorithmen wie HS256) oder den öffentlichen Schlüssel (bei RSA/ECDSA-Algorithmen wie RS256), mit dem er signiert wurde — da dieses Tool diesen Schlüssel nie anfragt oder erhält, kann es nur decodieren, niemals validieren.

JWT-Payloads enthalten oft Nutzer-IDs, Rollen oder Berechtigungen, die nicht offengelegt werden sollten — deshalb erfolgt die Decodierung vollständig in Ihrem Browser statt auf einem Server, dem Sie den Token anvertrauen müssten.

Die Decodierung erfolgt vollständig im Browser per clientseitigem JavaScript; der eingefügte Token wird niemals an einen Server hochgeladen oder gespeichert.