JWT Decoder – JSON Web Tokens

Ein JSON Web Token ist ein Zugangsnachweis. Diese App dekodiert ihn, erklärt seinen Inhalt und prüft die Signatur – vollständig auf dem Gerät, ohne eigenen Netzwerkzugriff.

ALLES DEKODIEREN, WAS NACH TOKEN AUSSIEHT

Token einfügen oder aus einer anderen App teilen: in einem Log, einem curl-Befehl, einem Authorization-Header oder einer JSON-Antwort markieren und „Teilen“ oder „JWT dekodieren“ im Textmenü wählen. Das Token wird aus dem umgebenden Text herausgelöst. Signierte (JWS) und verschlüsselte (JWE) Tokens werden erkannt; bei beschädigten Tokens siehst du trotzdem alles, was lesbar ist.

CLAIMS LESEN STATT BASE64

Jeder registrierte Claim wird benannt und erklärt. Zeit-Claims erscheinen als Datum plus Abstand – „vor 4 Stunden abgelaufen“, „in 12 Minuten“ – in Ortszeit, UTC oder Sekunden. Rund neunzig Claim-Namen werden erkannt, darunter OpenID Connect sowie Microsoft Entra, Firebase, AWS Cognito, Auth0 und Keycloak.

SIGNATUR PRÜFEN

• HS256, HS384, HS512 mit gemeinsamem Geheimnis – als Text, Base64, Base64url oder Hex, nach deiner Wahl

• RS256/384/512, PS256/384/512, ES256/384/512 und ES256K mit öffentlichem Schlüssel

• Schlüssel als PEM, X.509-Zertifikat, JWK oder komplette jwks.json – die Key-ID des Tokens wählt den passenden Eintrag

Das Ergebnis ist nie nur Ja oder Nein: „stimmt nicht überein“, „falsche Schlüsselart“, „falsche Kurve“ und „hier nicht prüfbar“ sind verschiedene Antworten.

WAS DAMIT NICHT STIMMT

Fünfunddreißig Befunde, jeweils in einem Satz erklärt – etwa „alg“ auf none, ein im Header eingebetteter Schlüssel, „nbf“ nach „exp“, „exp“ in Millisekunden, doppelte Claims, fehlende Audience – und der wichtigste: Der Payload ist signiert, nicht verschlüsselt. Jeder mit dem Token kann alle Claims lesen.

FÜR ETWAS GEBAUT, DEM DU NICHT TRAUST

Kein Token, Schlüssel oder Geheimnis wird übertragen; Schlüssel und Geheimnisse werden nie gespeichert. Der Verlauf zeigt maskierte Tokens, ist begrenzt, löschbar und von der Cloud-Sicherung ausgeschlossen.

AUSSERDEM

• Hell und dunkel nach Systemeinstellung

• Zehn Sprachen

• Syntaxfarben, Zahlen exakt wie geschrieben

• Einstellbare Uhrabweichung

• Verschachtelte Tokens öffnen