Tools › Entwickler-Tools

JWT-Decoder

Dekodieren Sie JSON Web Tokens, prüfen Sie das Ablaufdatum und verifizieren Sie HS256-, RS256-, PS256- und ES256-Signaturen mit WebCrypto, direkt im Browser.

Token

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MDIxIiwibmFtZSI6Ik5pYmJvIiwicHJvIjp0cnVlLCJpYXQiOjE3OTE4MDAwMDAsImV4cCI6MTc5MTgwMzYwMH0.3gyjX84nuxuPoVGw5Q01DBQ2lSFvvfCYp3da6-4BhHM

Header

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

{
  "sub": "4021",
  "name": "Nibbo",
  "pro": true,
  "iat": 1791800000,
  "exp": 1791803600
}

Algorithmus: HS256
Ausgestellt: 12.10.2026, 10:13:20
Läuft ab: 12.10.2026, 11:13:20 abgelaufen

Secret

nibbo

So funktioniert es

Header und Payload werden lokal aus Base64URL dekodiert.
Signaturen werden mit dem im Browser eingebauten WebCrypto geprüft. Geheimnisse und Schlüssel bleiben in diesem Tab.
Token mit "alg": "none" werden immer als nicht verifiziert gemeldet.

Fragen

Warum ist es wichtig, dass lokal dekodiert wird?

Ein JWT ist oft eine aktive Sitzung. Wer ihn auf einer Website einfügt, die Anfragen protokolliert, gibt den Zugang zu seinem Konto aus der Hand.

Welche Schlüsselformate funktionieren?

Ein gemeinsames Geheimnis für HS* oder ein öffentlicher Schlüssel als PEM (SPKI) oder JWK für RS*, PS* und ES*.