Dekoder JWT
Odczytaj nagłówek i ładunek tokenu bez wysyłania go gdziekolwiek.
- Działa w przeglądarce — twój tekst nigdy nie jest nigdzie wysyłany
- Bez rejestracji, bez limitów, za darmo, tak często, jak chcesz
Jak to działa
Wklejanie JWT na stronę internetową to naprawdę zły nawyk: aktywny token to dane uwierzytelniające, a właśnie przekazujesz je stronie trzeciej. To narzędzie dekoduje go na stronie, więc token nigdy nie opuszcza twojego komputera.
Co zawiera JWT
Trzy segmenty Base64URL oddzielone kropkami: nagłówek wskazujący algorytm, ładunek z oświadczeniami (claims) i podpis. Dwa pierwsze są zakodowane, a nie zaszyfrowane — każdy, kto ma token, może je odczytać.
Weryfikacja podpisu to nie dekodowanie
To pokazuje, co mówi token. Nie weryfikuje, czy podpis jest prawidłowy, ponieważ wymaga to tajnego klucza podpisującego lub klucza publicznego. Zdekodowany token niczego nie dowodzi co do autentyczności.
Wygaśnięcie
Jeśli ładunek zawiera oświadczenie o wygaśnięciu, jest ono pokazane jako czytelna data i oznaczone, gdy już minęła — zwykle to właśnie chciałeś sprawdzić.
Dekoder JWT — pytania
Czy to weryfikuje podpis?
Nie. Weryfikacja wymaga klucza podpisującego. Narzędzie tylko dekoduje i wyświetla zawartość.
Czy mój token jest wysyłany na serwer?
Nie, i o to właśnie chodzi. Aktywny token to dane uwierzytelniające i nie powinno się go wklejać do zdalnej usługi.
Dlaczego każdy może przeczytać JWT?
Nagłówek i ładunek są zakodowane w Base64, a nie zaszyfrowane. Podpis chroni przed modyfikacją, a nie przed odczytem.