Декодер JWT
Прочитайте заголовок і корисне навантаження токена, нікуди його не надсилаючи.
- Працює у вашому браузері — ваш текст нікуди не надсилається
- Без реєстрації та квот, безкоштовно користуйтеся скільки завгодно
Як це працює
Вставляти JWT на вебсайт — справді погана звичка: робочий токен є обліковими даними, і ви щойно віддали його третій стороні. Тут він декодується на сторінці, тож токен ніколи не залишає ваш комп'ютер.
Що містить JWT
Три сегменти Base64URL, розділені крапками: заголовок із назвою алгоритму, корисне навантаження із твердженнями (claims) і підпис. Перші два закодовані, а не зашифровані: будь-хто, хто має токен, може їх прочитати.
Перевірка підпису — це не декодування
Тут показано, що говорить токен. Дійсність підпису не перевіряється, бо для цього потрібен секрет підпису або відкритий ключ. Декодований токен нічого не доводить щодо автентичності.
Строк дії
Якщо корисне навантаження містить твердження про строк дії, він показується як читабельна дата й позначається, якщо вже минув, — зазвичай саме це ви й хотіли дізнатися.
Декодер JWT: запитання
Чи перевіряє це підпис?
Ні. Для перевірки потрібен ключ підпису. Тут лише декодується й показується вміст.
Чи надсилається мій токен на сервер?
Ні, у цьому й сенс. Робочий токен — це облікові дані, і його не слід вставляти у віддалений сервіс.
Чому будь-хто може прочитати JWT?
Заголовок і корисне навантаження закодовані в Base64, а не зашифровані. Підпис запобігає підробці, а не читанню.