Über dieses Tool
Scheitert ein authentifizierter API-Aufruf mit 401 oder 403, lautet die erste Frage, was im Token tatsächlich steht: für wen es ausgestellt wurde, für welche Audience, mit welchen Rollen und ob es abgelaufen ist. Dieser Decoder zerlegt das Token, decodiert Header und Payload aus Base64URL und zeigt die registrierten Claims, wobei exp, iat und nbf in Datumswerte und relative Zeiten umgerechnet werden. Außerdem markiert er Einstellungen, die einen Sicherheitstest wert sind, etwa alg "none", eingebettete Schlüssel oder entfernte Key-URLs. Die Signatur prüft er nicht: Dafür braucht es das Secret oder den Public Key, und decodierte Claims allein beweisen nichts.
So funktioniert es
- Fügen Sie das Token ein. Ein führendes „Bearer “ aus dem Authorization-Header wird automatisch entfernt.
- Prüfen Sie im Statusbanner den Ablauf und lesen Sie dann die Panels für Header und Payload.
- Vergleichen Sie in der Claims-Tabelle iss, aud und sub mit dem, was die API erwartet.
- Sehen Sie sich die Warnungen an; sie schlagen Negativtests vor, die Sie gegen Ihre API ausführen können.
FAQ zu JWT Decoder
Kann ich hier gefahrlos ein Produktions-Token einfügen?
Das Decodieren geschieht vollständig in Ihrem Browser, und das Token wird nirgendwohin gesendet. Es wird aber der Einfachheit halber im Local Storage dieses Browsers gespeichert, bis Sie auf „Clear“ (leeren) klicken. Behandeln Sie ein gültiges Token wie ein Passwort: Nutzen Sie bevorzugt Testumgebungen und leeren Sie das Feld, wenn Sie fertig sind.
Warum wird das Token hier als gültig angezeigt, aber von der API abgelehnt?
Der Ablauf ist nur eine Prüfung. Der Server prüft außerdem Signatur, Issuer, Audience, manchmal die Not-Before-Zeit mit Toleranz für Uhrenabweichung und ob das Token widerrufen wurde. Ein abweichendes aud oder iss ist eine häufige Ursache für 401-Responses zwischen Umgebungen.
Was sollte ich testen, wenn ich alg „none“ oder HS256 sehe?
Senden Sie das Token erneut mit alg auf "none" und entfernter Signatur sowie mit verändertem Payload, aber ursprünglicher Signatur. Eine korrekte API muss beides ablehnen. Stellen Sie bei HS256 außerdem sicher, dass das Secret lang und zufällig ist, denn schwache HMAC-Secrets lassen sich aus jedem abgefangenen Token offline per Brute Force knacken.