JWT-Decoder online

JWT-Tokens dekodieren und optional HS256/384/512- oder RS/ES-Signaturen im Browser prüfen. Nichts wird hochgeladen.

Dies dekodiert Header und Payload eines JWT und kann eine Signatur lokal prüfen: HS* mit dem gemeinsamen Geheimnis, RS*/ES* mit einem öffentlichen JWK/JWKS. Die Prüfung ist optional; eine gültige Signatur belegt Integrität, nicht die Vertrauenswürdigkeit des Ausstellers.

JWT-Token dekodieren

JWT-Token

Ein gültiges JWT hat drei durch Punkte getrennte Teile.

Noch kein Ergebnis

Geben Sie oben Ihre Eingabe ein, dann erscheint das Ergebnis hier.

JWK / JWKS analysieren

Fügen Sie einen JSON Web Key (JWK) oder ein JSON Web Key Set (JWKS) ein, um den Aufbau zu prüfen.

JWK / JWKS

So funktioniert es

Details lesen +

Was ist JWT?

JSON Web Token (JWT) ist ein offener Standard (RFC 7519), der eine kompakte und eigenständige Methode zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt definiert. Diese Informationen können verifiziert und vertraut werden, da sie digital signiert sind – mit einem Geheimnis (HMAC-Algorithmus) oder einem Paar aus öffentlichem und privatem Schlüssel (RSA oder ECDSA).

JWTs werden in modernen Webanwendungen häufig für Authentifizierung und Informationsaustausch verwendet. Wenn sich ein Benutzer anmeldet, erstellt der Server ein JWT mit Identität und Berechtigungen. Der Client sendet dieses Token anschließend in weiteren Anfragen mit, sodass der Server die Identität prüfen kann, ohne einen Sitzungszustand zu speichern.

Der Hauptvorteil von JWT ist seine zustandslose Natur – der Server muss keine Sitzungsinformationen in einer Datenbank speichern. Alle notwendigen Informationen sind im Token selbst enthalten, was JWT ideal für verteilte Systeme und Microservice-Architekturen macht.

JWT-Struktur

Ein JWT besteht aus drei Teilen, getrennt durch Punkte (.): Header, Payload und Signatur. Jeder Teil ist Base64Url-kodiert.

1Header

Enthält Metadaten über das Token, einschließlich des Signaturalgorithmus (alg) und Tokentyps (typ).

{
  "alg": "HS256",
  "typ": "JWT"
}

2Payload

Enthält die Ansprüche – Aussagen über den Benutzer und zusätzliche Daten. Ansprüche werden als registriert (Standard), öffentlich oder privat kategorisiert.

{
  "sub": "1234567890",
  "name": "Max Mustermann",
  "iat": 1516239022,
  "exp": 1516242622
}

3Signatur

Stellt sicher, dass das Token nicht manipuliert wurde. Wird durch Signieren des kodierten Headers und Payload mit einem geheimen Schlüssel erstellt.

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

Standard JWT-Ansprüche

iss

Aussteller – Identifiziert den Hauptanwendungsfall, der das JWT ausgestellt hat

sub

Betreff – Identifiziert den Hauptanwendungsfall, der das Thema des JWT darstellt

aud

Zielgruppe – Identifiziert die Empfänger, für die das JWT bestimmt ist

exp

Ablaufzeit – Die Zeit, nach der das JWT nicht mehr akzeptiert werden darf

nbf

Nicht vor – Die Zeit, vor der das JWT nicht akzeptiert werden darf

iat

Ausgestellt am – Die Zeit, zu der das JWT ausgestellt wurde

jti

JWT-ID – Eindeutiger Identifikator für das JWT

Referenzen

So dekodieren Sie ein JWT-Token online

Dekodieren Sie JWT-Header und -Payload sicher in Ihrem Browser, ohne Daten an einen Server zu senden.

1
Fügen Sie Ihr JWT-Token ein
Geben Sie ein vollständiges JWT ein.
2
Klicken Sie auf Dekodieren
Das Tool parsed das Token.
3
Ansprüche anzeigen
Prüfen Sie Header (alg, typ) und Payload (iss, exp, sub usw.) als lesbares JSON mit menschenlesbaren Zeitstempeln.

Wann dieses Tool verwenden

1Authentifizierungsprobleme debuggen
2Token-Ablaufzeiten verifizieren
3Benutzerdefinierte Ansprüche inspizieren
4JWK/JWKS für Schlüsselverwaltung parsen
5Token-Struktur während der Entwicklung und Tests verstehen
6Token-Struktur und -Format während der API-Integration prüfen

Sicherheitstipps

Dieses Tool dekodiert nur JWTs – es verifiziert KEINE Signaturen
Vertrauen Sie einem JWT nicht ohne Signaturverifizierung
Verwenden Sie immer HTTPS bei der Übertragung
Validieren Sie alle Ansprüche vor dem Akzeptieren
Speichern Sie JWTs sicher in httpOnly-Cookies oder sicherer Speicherung, nicht in localStorage
Signaturschlüssel regelmäßig rotieren und bewährte Verfahren für das Schlüsselmanagement umsetzen

Häufige Fragen

Wird mein Token an einen Server gesendet?

Nein. Das JWT wird ausschließlich im Browser dekodiert. Header und Payload werden lokal angezeigt, nichts wird übertragen.

Kann ich JWKS-Schlüsselsätze validieren?

Ja. Fügen Sie einen JWKS-Schlüsselsatz ein, um dessen Struktur lokal zu prüfen – ohne Token oder Schlüssel zu übertragen.

Was sollte ich mit einem JWT nie tun?

Fügen Sie Token nie in Online-Dienste ein, denen Sie nicht vertrauen – Token können sensible Claims enthalten. Ein lokaler Decoder hält sie auf Ihrem Gerät.

Prüft der Decoder auch die Signatur?

Ja, sobald du das Schlüsselmaterial angibst. HS256/384/512 werden mit einem Secret geprüft, RS- und ES-Token mit einem PEM-Public-Key oder einem eingefügten JWKS. Die Prüfung beantwortet nur, ob die Signatur passt; Ablauf, Aussteller und Zielgruppe werden getrennt bewertet, denn eine gültige Signatur allein macht ein Token nicht vertrauenswürdig.

Was ist Clock Skew und wie beeinflusst er die Ablaufprüfung?

Clock Skew ist die tolerierte Zeitdifferenz zwischen deinem Rechner und dem Aussteller des Tokens. Ein Token gilt erst als abgelaufen, wenn `exp` älter ist als die aktuelle Zeit plus der eingestellte Toleranz (Standard: 30 Sekunden); dieselbe Toleranz gilt für `nbf` und `iat`. 30–60 Sekunden vermeiden Fehlalarme durch kleine Uhrabweichungen.