TextArray
100% lokálně

JWT dekodér

Dekódujte JSON Web Token a přečtěte si jeho hlavičku a obsah — bez ověřování podpisu.

Vstup
Výstup
Související nástroje
Base64 kódování a dekódováníKódování a převodyJSON formátovač a validátorFormátováníGenerátor hashůVývojářské nástroje
JWT dekodér
Vložte JSON Web Token a dekodér jej rozdělí na části oddělené tečkami, dekóduje hlavičku a obsah z Base64URL a obě části naformátuje jako čitelný JSON. Hodí se při ladění přihlašování, kontrole access a ID tokenů od poskytovatelů OAuth či OpenID Connect, ověření, jaké claimy backend skutečně vydává, nebo při pátrání, proč server pořád vrací 401.
Nejčastějším důvodem, proč token vůbec otevíráte, jsou časové claimy. Se zapnutou volbou dat dekodér vypíše exp (expirace), iat (čas vydání) a nbf (platný od) také jako časové značky ISO 8601, takže na první pohled vidíte, jestli token už vypršel, nebo ještě neplatí. Přehled pod výstupem ukazuje podpisový algoritmus z hlavičky a počet claimů v obsahu.
Jednu věc tento nástroj záměrně nedělá: neověřuje podpis. K ověření je potřeba podpisový klíč nebo veřejný klíč vydavatele a tajný klíč vložený do webové stránky je vyzrazený klíč. Dekodér zobrazuje obsah tokenu a podpis vždy označí jako neověřený — s každým dekódovaným tokenem proto zacházejte jako s neověřenými daty.
Dekódování probíhá výhradně ve vašem prohlížeči; token neopustí vaše zařízení a na žádný server se nic neposílá. Právě tady na tom záleží víc než jinde, protože i krátkodobý testovací token k něčemu otevírá přístup. Tokeny zalomené na více řádků i hodnoty zkopírované s předponou Bearer se před dekódováním automaticky očistí.
Časté dotazy
Ověřuje nástroj podpis?
Ne. K ověření je potřeba podpisový klíč nebo veřejný klíč vydavatele a ty do webové stránky nikdy nepatří. Dekodér zobrazí hlavičku a obsah a podpis vždy označí jako neověřený.
Nahrává se můj token někam?
Ne. Dekódování běží výhradně ve vašem prohlížeči a token nikdy neopustí vaše zařízení. Při sdílení snímků obrazovky přesto dejte přednost expirovaným nebo testovacím tokenům.
Proč jsou exp a iat obyčejná čísla?
Časové claimy v JWT jsou unixové časové značky — sekundy od 1. ledna 1970 UTC. Nechte zapnutou volbu dat a dekodér je vypíše také jako data ve formátu ISO 8601.
Jaké tokeny umí dekódovat?
Kompaktní JWS tokeny se dvěma nebo třemi částmi oddělenými tečkami včetně nepodepsaných tokenů s alg none a hodnot zkopírovaných s předponou Bearer. Šifrované JWE tokeny (pět částí) bez klíče dekódovat nelze.