JWT dekodieren

So verwenden Sie es

1. Fügen Sie das Token in JWT ein. Es hat drei Teile, durch Punkte getrennt.
2. Lesen Sie Signaturalgorithmus ab, um zu sehen, wie das Token seine Signatur angibt.
3. Prüfen Sie Ablauf. Grün bedeutet, dass das Token zur Uhrzeit Ihres Geräts noch gültig ist.
4. Lesen Sie Claims und Payload, um zu sehen, für wen das Token gedacht ist und was es enthält.

Was ein JWT enthält

Ein JSON Web Token hat drei Teile, durch Punkte getrennt. Die ersten beiden sind JSON-Objekte in base64url-Kodierung: Die Kopfzeile sagt, wie das Token signiert ist, und die Payload enthält die Claims. Das sind Aussagen wie für wen das Token gedacht ist und wann es abläuft. Der dritte Teil ist die Signatur.

RFC 7519 legt sieben registrierte Claim-Namen fest: iss, sub, aud, exp, nbf, iat und jti. Die Tabelle erklärt jeden davon, und die drei Zeitangaben zeigt sie zusätzlich als Datum in Ihrer Sprache.

Dekodieren heißt nicht prüfen

Diese Seite dekodiert das Token nur. Sie prüft die Signatur nicht, denn dafür braucht man den Schlüssel, mit dem das Token signiert wurde, und ein Prüfschlüssel ist geheim. Ein dekodiertes Token kann trotzdem gefälscht sein. Vertrauen Sie einem Claim deshalb nicht allein deshalb, weil Sie ihn hier lesen können.

Um ein Token zu prüfen, muss Ihr Server oder Ihre Bibliothek die Signatur mit dem richtigen Schlüssel und dem erwarteten Algorithmus prüfen und ein Token mit falscher Signatur ablehnen.

Wie das Ablaufdatum gelesen wird

Der Claim exp ist eine Anzahl von Sekunden seit dem 1. Januar 1970, 00:00 UTC. RFC 7519, Abschnitt 4.1.4, legt fest, dass ein Token ab diesem Zeitpunkt nicht mehr akzeptiert werden darf. Genau zu diesem Zeitpunkt gilt es daher schon als abgelaufen.

Ein Token ohne Claim exp läuft nie ab. Die Seite zeigt das rot an, weil ein Token, das nie abläuft, ein Risiko ist, das man kennen sollte.

Häufig gestellte Fragen