JWT-decoder
Lees de header en payload van een token zonder het ergens naartoe te sturen.
- Draait in je browser — je tekst wordt nergens naartoe gestuurd
- Geen aanmelding, geen quota, gratis te gebruiken zo vaak je wilt
Hoe het werkt
Een JWT in een website plakken is een echt slechte gewoonte: een actief token is een inlogsleutel en je hebt hem net aan een derde partij gegeven. Dit decodeert hem op de pagina, zodat het token je computer nooit verlaat.
Wat een JWT bevat
Drie Base64URL-segmenten gescheiden door punten: een header met het algoritme, een payload met claims en een handtekening. De eerste twee zijn gecodeerd, niet versleuteld: iedereen met het token kan ze lezen.
Handtekening controleren is niet decoderen
Dit toont wat het token zegt. Het controleert niet of de handtekening geldig is, want daarvoor is het ondertekeningsgeheim of de publieke sleutel nodig. Een gedecodeerd token bewijst niets over de echtheid.
Verlooptijd
Als de payload een verlooptijdclaim bevat, wordt die als leesbare datum getoond en gemarkeerd als hij al is verstreken, meestal wat je wilde weten.
JWT-decoder: veelgestelde vragen
Controleert dit de handtekening?
Nee. Voor controle is de ondertekeningssleutel nodig. Dit decodeert en toont alleen de inhoud.
Wordt mijn token naar een server gestuurd?
Nee, en dat is juist de bedoeling. Een actief token is een inlogsleutel en hoort niet in een externe dienst te worden geplakt.
Waarom kan iedereen een JWT lezen?
De header en payload zijn Base64-gecodeerd, niet versleuteld. De handtekening voorkomt knoeien, geen lezen.