JWT-decoder en debugger: tokens online decoderen en controleren

Ja. De JWT-decoder en debugger draait rechtstreeks op deze pagina in je browser, zonder account, aanmelding of installatie.

Nee. Het decoderen, ondertekenen en controleren van de signatuur gebeurt uitsluitend in je browser; voor cryptografie wordt de Web Crypto API gebruikt. Het token, secret en de openbare sleutel worden niet geüpload. Echte JWT's bevatten vaak sessie- of API-toegangsgegevens. Voor tests kun je beter testtokens gebruiken.

Ja. Een JWT is niet versleuteld: de header en payload zijn alleen Base64URL-gecodeerd en voor iedereen leesbaar. Het secret of de openbare sleutel is alleen nodig voor de signatuurcontrole en, bij HS256, HS384 en HS512, om opnieuw te ondertekenen. Decoderen bewijst dus niet dat een token authentiek is; dat blijkt pas uit de signatuurcontrole.

Voor HS256, HS384 en HS512 voer je het secret in. Staat in de header RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 of ES512, dan verschijnt in plaats daarvan een veld voor de openbare sleutel in PEM-formaat 'BEGIN PUBLIC KEY' (SPKI). RSA PUBLIC KEY (PKCS#1) en certificaten accepteert de tool niet. Het resultaat staat bovenaan als 'Geldig' of 'Ongeldig'; zonder secret of sleutel staat er 'Niet gecontroleerd'. Andere algoritmen controleert de tool niet.

Als de payload exp, iat of nbf als getal bevat, toont de tool deze claims boven de payload als datum in UTC. Bij exp zie je over hoeveel tijd het token verloopt of hoelang het al verlopen is. Een verlopen exp wordt rood gemarkeerd. Ligt nbf in de toekomst, dan zie je vanaf wanneer het token geldig is.

Ja. Bewerk de header of payload rechtstreeks, bijvoorbeeld exp, rollen of eigen claims, of kies een ander algoritme. Zodra je iets wijzigt, verschijnt in het veld 'Encoded (JWT)' direct een nieuw token, ondertekend met je secret. Ondertekenen werkt alleen met HS256, HS384 en HS512: voor RS-, PS- en ES-algoritmen is een privésleutel nodig, die de tool niet gebruikt.

Kopieer alleen het deel na 'Bearer ' en plak dat in het veld. Het voorvoegsel wordt niet automatisch verwijderd en een JWT moet uit precies drie door punten gescheiden delen bestaan (Header.Payload.Signatuur). Met het voorvoegsel kan de header niet worden gelezen en toont de tool een foutmelding.

Een JWT bestaat uit drie Base64URL-gecodeerde delen, gescheiden door punten: een header (bijvoorbeeld alg en typ), een payload met de claims en een signatuur. Het vooraf ingevulde voorbeeld laat de opbouw zien: een HS256-token met sub, name en iat, dat met het voorbeeldsecret als 'Geldig' wordt beoordeeld.