Hoe u een JWT veilig kunt decoderen en de authenticiteit ervan kunt verifiëren
JSON Web Tokens (JWT's) worden overal gebruikt – bij authenticatie, API-verzoeken en veilige gegevensuitwisseling – maar veel ontwikkelaars beschouwen ze als ondoorzichtige zwarte dozen. Het decoderen van een JWT is eenvoudig, maar erop vertrouwen zonder verificatie is een veiligheidsrisico. Deze handleiding laat zien hoe u tokens veilig kunt inspecteren en begrijpt waarmee u daadwerkelijk werkt.
Wat is een JWT?
Een JWT bestaat uit drie base64-gecodeerde secties, gescheiden door punten: header.payload.signature. De header beschrijft het tokentype en algoritme, de payload bevat claims (gebruikersgegevens) en de handtekening bewijst dat er niet met het token is geknoeid. De payload is na decodering leesbaar voor mensen, maar dat betekent niet dat deze betrouwbaar is: iedereen kan de gegevens erin vervalsen of wijzigen.
Waarom decoderen alleen niet genoeg is
Aanvallers kunnen een geldig uitziende JWT maken en de claims daarin wijzigen. Een token dat decodeert naar geldige JSON kan valse machtigingen verlenen of zich voordoen als een andere gebruiker. De cruciale stap is het verifiëren van de handtekening aan de hand van de geheime sleutel van de server. Zonder die controle vertelt een gedecodeerd token u wat het token beweert, en niet wat werkelijk waar is.
Hoe een JWT te decoderen
Gebruik de JWT-decoder om een token te inspecteren. Plak het token en je ziet meteen dat de header, payload en handtekening gescheiden zijn. De payload is doorgaans base64url-gecodeerd en de Basis64 tool kan u helpen indien nodig extra gegevens te decoderen. Deze visuele uitsplitsing maakt duidelijk welke informatie het token bevat en of het zinvol is voor het beoogde gebruik.
Het verifiëren van de handtekening
Na het decoderen moet u verifiëren dat het token echt is. Hiervoor is de geheime sleutel of de publieke sleutel van de server vereist (voor asymmetrische algoritmen). U kunt een handtekening handmatig verifiëren door deze opnieuw te berekenen: neem de header en de payload, onderteken ze met hetzelfde algoritme en dezelfde sleutel, en vergelijk het resultaat met de signature sectie. A hash-generator kan u helpen begrijpen hoe cryptografische handtekeningen worden gemaakt, hoewel de meeste verificatie in echte toepassingen aan de serverzijde plaatsvindt.
Privacy en veiligheid
Wanneer u een JWT decodeert in het JWT-decoder, gebeurt het hele proces in uw browser. Uw token verlaat nooit uw apparaat, bereikt nooit een server en wordt nooit ergens geregistreerd. De tool werkt offline nadat de pagina is geladen, zodat u gevoelige tokens veilig kunt inspecteren zonder netwerkblootstelling. Dit is van belang omdat JWT's vaak gebruikers-ID's, machtigingen of andere gegevens bevatten die u niet aan derden wilt doorgeven.
Veelgemaakte fouten om te vermijden
- Een gedecodeerde payload vertrouwen zonder de handtekening te verifiëren.
- JWT's opslaan in localStorage zonder HTTPS (kwetsbaar voor XSS).
- We vergeten dat de payload alleen base64-gecodeerd is en niet gecodeerd.
- Ervan uitgaande dat een token geldig is alleen maar omdat het netjes decodeert.