Декодер JWT
Прочитайте заголовок и полезную нагрузку токена, не отправляя его никуда.
- Работает в вашем браузере — текст никуда не отправляется
- Без регистрации и квот, пользуйтесь бесплатно сколько угодно
Как это работает
Вставлять JWT на сайт — действительно плохая привычка: действующий токен — это учётные данные, и вы только что передали их третьей стороне. Здесь токен декодируется на странице и никогда не покидает ваш компьютер.
Что содержит JWT
Три сегмента Base64URL, разделённые точками: заголовок с названием алгоритма, полезная нагрузка с утверждениями (claims) и подпись. Первые два закодированы, но не зашифрованы: любой, у кого есть токен, может их прочитать.
Проверка подписи — это не декодирование
Здесь показано, что сказано в токене. Действительность подписи не проверяется, потому что для этого нужен секрет подписи или открытый ключ. Декодированный токен ничего не доказывает о подлинности.
Срок действия
Если в полезной нагрузке есть утверждение о сроке действия, оно показывается в виде читаемой даты и помечается, если срок уже истёк, — обычно это именно то, что вы хотели выяснить.
Декодер JWT: вопросы и ответы
Проверяет ли это подпись?
Нет. Для проверки нужен ключ подписи. Здесь содержимое только декодируется и показывается.
Отправляется ли мой токен на сервер?
Нет, в этом и смысл. Действующий токен — это учётные данные, и вставлять его в сторонний сервис не следует.
Почему любой может прочитать JWT?
Заголовок и полезная нагрузка закодированы в Base64, а не зашифрованы. Подпись защищает от подмены, а не от чтения.