JWT Decoder - JSON Web Tokens

Ein JSON Web Token (JWT) ist ein Berechtigungsnachweis. Diese App dekodiert ihn, erklärt seine Bedeutung

und überprüft seine Signatur – alles direkt auf Ihrem Gerät, ohne eigenen Netzwerkzugriff.

BELIEBIGE TOKEN-FORMEN DEKODIEREN

Fügen Sie ein Token ein oder senden Sie es von einer anderen App: Wählen Sie es in einem Log, einem curl-Befehl, einem Authorization-Header oder einer JSON-Antwort aus und verwenden Sie dann „Teilen“ oder den Menüpunkt „JWT dekodieren“. Das Token wird aus dem umgebenden Text extrahiert.

Signierte Token (JWS) und verschlüsselte Token (JWE) werden beide erkannt. Die Claims eines JWE können ohne den privaten Schlüssel des Empfängers nicht gelesen werden. Die App zeigt dies an und erklärt, was der geschützte Header preisgibt, anstatt ein gültiges Token als beschädigt zu bezeichnen.

Selbst bei einem beschädigten Token erhalten Sie noch lesbare Informationen: Eine gekürzte Nutzlast verhindert nicht, dass der Header den Algorithmus und die Schlüssel-ID enthält.

LESEN SIE DIE ANSPRÜCHE, NICHT DIE BASE64-DATEI

Jeder registrierte Anspruch wird benannt und erläutert: Aussteller, Subjekt, Zielgruppe, Ablaufdatum, Gültig bis, Ausstellungsdatum, Token-ID. Zeitangaben werden als tatsächliches Datum plus die verbleibende Gültigkeitsdauer angezeigt – z. B. „vor 4 Stunden abgelaufen“, „in 12 Minuten“ – in lokaler Zeit, UTC oder Sekunden.

Die Zielgruppe funktioniert sowohl mit einzelnen Zeichenketten als auch mit Listen. Rund neunzig Anspruchsnamen werden erkannt, darunter die OpenID Connect-Namen und die Anbieternamen von Microsoft Entra, Firebase, AWS Cognito, Auth0 und Keycloak. So können Sie erkennen, welches System das Token erstellt hat.

SIGNATURPRÜFUNG

• HS256, HS384, HS512 gegen ein gemeinsames Geheimnis – als Text, Base64, Base64-URL oder

Hexadezimaldarstellung (Sie wählen die Darstellungsform, die die App nicht erraten soll).

• RS256/384/512, PS256/384/512, ES256/384/512 und ES256K gegen einen öffentlichen Schlüssel.

Schlüssel werden als PEM-Datei, X.509-Zertifikat, JWK oder als vollständige jwks.json-Datei akzeptiert.

In diesem Fall wählt die Schlüssel-ID des Tokens den richtigen Eintrag aus.

Das Ergebnis ist nie einfach nur Ja oder Nein. „Stimmt nicht überein“, „Falscher Schlüsseltyp“,

„Falsche Kurve“ und „Dieser Algorithmus kann hier nicht geprüft werden“ sind vier verschiedene Antworten.

Und Sie erhalten die richtige. Eine Signatur, die zwar verifiziert ist, aber DER-kodiert ist,

und nicht im von JOSE geforderten Rohformat vorliegt, wird als genau das gemeldet: gültig,

und wird dennoch andernorts abgelehnt.

WISSEN, WAS DARAN FALSCH IST

Fünfunde, jeweils in einem Satz erklärt, ohne Fachjargon:

• „alg“ auf „none“ gesetzt, sodass jeder das Token erstellen kann.

• Ein Algorithmusname, dessen Groß-/Kleinschreibung keinem registrierten Namen entspricht.

• Ein im Header eingebetteter Schlüssel oder ein Header, der auf einen externen Schlüssel verweist.

• Eine „crit“-Erweiterung, die ein Prüfer verstehen muss, aber nicht versteht.

• „nbf“ an oder nach „exp“, sodass das Token zu keinem Zeitpunkt gültig ist.

„exp“ wird in Millisekunden, Mikrosekunden oder Nanosekunden ausgegeben.

Derselbe Anspruch erscheint zweimal, was von verschiedenen Bibliotheken unterschiedlich aufgelöst wird.

Keine Zielgruppe, sodass das Token nicht an den empfangenden Dienst gebunden ist.

• Eine ECDSA-Signatur mit der falschen Länge für ihre Kurve.

• Und das, was viele wissen müssen: Die Nutzdaten sind signiert, nicht verschlüsselt.

Jeder, der das Token besitzt, kann jeden darin enthaltenen Anspruch lesen.

ENTWICKELT FÜR ETWAS, DEM SIE NICHT VERTRAUEN

Es werden niemals Token, Schlüssel oder Geheimnisse übertragen, und Schlüssel und Geheimnisse werden niemals im Speicher abgelegt – sie existieren nur, solange der Bildschirm geöffnet ist.

Zuletzt verwendete Token werden auf dem Gerät gespeichert, sodass Sie jederzeit darauf zugreifen können. Die Liste zeigt ein maskiertes Token an und fragt vor der Anzeige nach. Der Speicher ist begrenzt und kann gelöscht werden. Er ist von der Android-Cloud-Sicherung und der Übertragung zwischen Geräten ausgeschlossen, sodass ein gespeichertes Token das Telefon niemals verlässt. Durch Deaktivieren der Funktion werden die bereits vorhandenen Token gelöscht.

Außerdem

• Hell- und Dunkelmodus, angepasst an Ihre Systemeinstellungen

• Zehn Sprachen

• Syntaxhervorgehobene Nutzdaten und Header, Zahlen werden exakt wie geschrieben angezeigt

• Konfigurierbare Toleranz für die Uhrzeitabweichung, sodass das Ergebnis dem eines Servers mit einer leicht abweichenden Uhrzeit entspricht

• Verschachtelte Token: Wenn die Nutzdaten selbst ein JWT sind, wird dieses geöffnet