JWT-Encoder/Decoder

    Decodieren, verifizieren und generieren Sie JSON Web Tokens (JWT) im Browser. Untersuchen Sie Header, Payloads und Signaturen absolut vertraulich.

    Header erscheint hier...
    Payload erscheint hier...

    Verbleibt auf Ihrem Gerät. Die gesamte Verarbeitung erfolgt in Ihrem Browser. Ihre Eingaben werden niemals an unsere Server übertragen.

    Bedienungsanleitung

    Folgen Sie diesen einfachen Schritten, um optimale Ergebnisse zu erzielen.

    1Token decodieren: Fügen Sie Ihren JWT ein, um Header und Payload sofort als lesbares JSON zu sehen.
    2Claims prüfen: Überprüfen Sie Ablaufdaten (exp) und Benutzer-IDs (sub) zur Fehlerdiagnose.
    3Signatur verifizieren: Geben Sie Ihr Secret ein, um die kryptografische Gültigkeit des Tokens zu testen.
    4Neuen Token erstellen: Nutzen Sie den Tab 'Encoder', um Test-Tokens mit eigenen Parametern zu signieren.
    5Kopieren Sie Header, Payload oder fertige Tokens für Tests in Postman oder im Terminal.

    Häufig gestellte Fragen

    Finden Sie Antworten auf häufige Fragen rund um dieses Tool.

    Ein JSON Web Token (JWT) ist ein kompakter, URL-sicherer Standard (RFC 7519) zur sicheren Übertragung von Informationen zwischen zwei Parteien. Er wird meist zur Benutzerauthentifizierung in modernen Web- und Mobilanwendungen verwendet.

    Dekodieren bedeutet lediglich das Auslesen der Base64url-kodierten Daten ohne Sicherheitsschlüssel. Verifizieren erfordert hingegen das geheime Passwort, um die kryptografische Signatur neu zu berechnen und zu beweisen, dass die Daten nicht manipuliert wurden.

    Vollständig. Sämtliche Dekodier- und Verifizierungsvorgänge laufen lokal in Ihrem Webbrowser ab. Es werden keinerlei Token, Payloads oder Schlüssel an unsere Server gesendet.

    Unser Werkzeug unterstützt standardmäßig HS256 (HMAC mit SHA-256), den am weitesten verbreiteten symmetrischen Signaturalgorithmus für Web-Tokens.

    Ja. Header und Payload sind lediglich Base64-kodiert und nicht verschlüsselt. Jeder, der den Token besitzt, kann die enthaltenen Informationen im Klartext lesen. Speichern Sie daher niemals sensible Daten wie Passwörter im JWT.

    Dies sind standardisierte Claims nach RFC 7519: 'sub' (Subject) bezeichnet die Benutzer-ID, 'iat' (Issued At) den Ausstellungszeitpunkt und 'exp' (Expiration Time) den Ablaufzeitpunkt als Unix-Timestamp.

    Die häufigste Ursache ist ein fehlerhafter geheimer Schlüssel oder überflüssige Leerzeichen im Schlüssel. Wenn sich auch nur ein einziges Zeichen im Header oder Payload ändert, wird die kryptografische Signatur sofort ungültig.

    Übertragen Sie den Token im 'Authorization'-Header Ihrer HTTP-Anfragen in der Form 'Bearer <Ihr_Token>'. Der Server kann die Signatur mit dem geheimen Schlüssel sofort verifizieren, ohne bei jedem Aufruf die Datenbank abzufragen.

    So funktioniert es

    Verstehen Sie die Formeln, Logik und mathematischen Grundlagen dieses Tools.

    JSON Web Tokens (JWT) decodieren, prüfen und signieren

    JSON Web Tokens (JWT) sind der Standard für moderne Authentifizierung in Web-Apps und APIs. Doch als kompakte Base64url-Zeichenkette sind sie für das menschliche Auge unlesbar. Unser JWT-Tool decodiert Header und Payload in Sekunden und überprüft die kryptografische Signatur.

    Die drei Bestandteile eines JWT

    Ein JWT besteht aus drei durch Punkte getrennten Blöcken:

    1. Header: Gibt Token-Typ und Hashing-Algorithmus an (z. B. HS256).
    2. Payload: Enthält die Nutzdaten und Berechtigungsangaben (Claims).
    3. Signatur: Gewährleistet, dass der Token auf dem Transportweg nicht verändert wurde.

    Decodieren vs. Verifizieren

    • Decodieren: Jeder kann einen JWT lesen, da die Daten lediglich Base64-kodiert sind.
    • Verifizieren: Nur mit dem passenden Secret lässt sich überprüfen, ob der Token echt und unverändert ist.

    Standard-Claims im Überblick

    • sub: Subjekt (Benutzer-ID)
    • exp: Ablaufzeitpunkt (Unix-Timestamp)
    • iat: Erstellungszeitpunkt
    • iss: Aussteller (Issuer)

    Wichtige Sicherheitsregel

    Speichern Sie niemals unverschlüsselte Geheimnisse oder Passwörter in der Payload, da diese für jedermann lesbar ist.

    Datenschutz

    Token-Prüfung und Signaturberechnungen laufen vollständig clientseitig in Ihrem Browser.

    Zuletzt aktualisiert:

    Verwandte Entwickler-Tools

    Entdecken Sie weitere Rechner und Tools für Ihren Workflow.

    Base64-Encoder/Decoder

    Bilder in Base64 umwandeln und Base64-Strings zurück in Grafiken decodieren.

    JSON-Formatierer

    JSON formatieren, validieren und minimieren mit Syntax-Highlighting und Fehlererkennung.

    Unix-Zeit-Konverter

    Konvertieren Sie Unix-Timestamps in lesbare Datumsangaben und umgekehrt.

    Hash-Generator

    Erstellen Sie kryptografische Hashes wie SHA-256, SHA-512, MD5, PBKDF2 und HMAC.