Gratis · Geen registratie

JWT-decoder

Plak een JSON Web Token en inspecteer direct de header, payload en claims, met vervaltijdstempels vertaald naar leesbare datums.

Verwerkt in het geheugen: nooit opgeslagen, nooit gelogd, geen account nodig.

Hoe JWT's zijn opgebouwd

Een JSON Web Token bestaat uit drie base64url-gecodeerde segmenten gescheiden door punten: header.payload.signature. De header declareert het handtekeningalgoritme (alg) en het tokentype; de payload draagt de claims: over wie het token gaat (sub), wie het uitgaf (iss) en wanneer het vervalt (exp).

Base64url is een codering, geen versleuteling: iedereen met een JWT kan de inhoud lezen, precies wat deze tool doet. Zet nooit geheimen in een JWT-payload. Wat een JWT betrouwbaar maakt is de handtekening, die alleen de houder van de sleutel kan produceren.

Deze decoder verifieert bewust geen handtekeningen, daarvoor is het secret of de publieke sleutel nodig en dat hoort in uw backend. Gebruik hem om te achterhalen waarom een token wordt geweigerd: verkeerde audience, verlopen exp, klokafwijking bij nbf of een onverwacht algoritme.

24/7 Geautomatiseerde Bewaking

Moe van handmatige controles?

Laat Continuum uw SSL-certificaten, HTTP-servers & API's 24/7 bewaken. Ontvang directe meldingen via Slack, Discord, Teams of Webhook voordat klanten een storing opmerken.

Slack, Discord & Teams meldingen 3 monitoren gratis voor altijd Geen creditcard nodig
Start gratis bewaking →

Veelgestelde vragen

Is het veilig om hier een JWT te plakken?
Uw token wordt in het geheugen gedecodeerd en nooit opgeslagen, gelogd of gedeeld. Behandel productietokens niettemin als wachtwoorden: gebruik bij voorkeur verlopen of testtokens om te debuggen, en roteer elk secret dat mogelijk is blootgesteld.
Verifieert deze tool de JWT-handtekening?
Nee, verificatie vereist het handtekening-secret (HS256) of de publieke sleutel van de uitgever (RS256/ES256) en hoort server-side te gebeuren. Deze tool decodeert de header en payload zodat u claims en verval kunt inspecteren.
Waarom wordt mijn geldig ogende token door de API geweigerd?
De gebruikelijke verdachten: de exp-claim ligt in het verleden, de nbf-claim in de toekomst (klokafwijking), de aud- of iss-claims komen niet overeen met wat de API verwacht, of de API verwacht een ander handtekeningalgoritme dan in de header staat.
Zijn JWT's versleuteld?
Standaard ondertekende JWT's (JWS) zijn niet versleuteld, de payload is voor iedereen leesbaar. Versleutelde JWT's (JWE) bestaan maar zijn zeldzamer; ze hebben vijf in plaats van drie segmenten. Deze tool verwerkt het gangbare ondertekende formaat.
Wat zijn de standaard JWT-claims?
De geregistreerde claims zijn iss (uitgever), sub (subject), aud (audience), exp (verval), nbf (niet vóór), iat (uitgegeven op) en jti (unieke ID). Al het overige zijn aangepaste claims van uw identityprovider of applicatie.