Dekoder JWT i debugger: dekoduj i weryfikuj tokeny online

Tak. Dekoder JWT i debugger działa bezpośrednio na tej stronie w twojej przeglądarce, bez konta, logowania i instalacji.

Nie. Dekodowanie, podpisywanie i weryfikacja podpisu odbywają się wyłącznie w twojej przeglądarce, z użyciem Web Crypto API do operacji kryptograficznych. Token, sekret i klucz publiczny nie są przesyłane. Prawdziwe JWT często zawierają jednak dane dostępowe do sesji lub API, dlatego do testów lepiej używać tokenów testowych.

Tak. JWT nie jest szyfrowany: nagłówek i payload są jedynie zakodowane w Base64URL i każdy może je odczytać. Sekret lub klucz publiczny jest potrzebny tylko do weryfikacji podpisu, a w przypadku HS256, HS384 i HS512 również do ponownego podpisania. Samo dekodowanie nie dowodzi więc autentyczności tokenu — potwierdza ją dopiero weryfikacja podpisu.

Dla HS256, HS384 i HS512 wpisz sekret. Jeśli nagłówek wskazuje RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 lub ES512, zamiast tego pojawi się pole na klucz publiczny w formacie PEM „BEGIN PUBLIC KEY” (SPKI). Narzędzie nie przyjmuje RSA PUBLIC KEY (PKCS#1) ani certyfikatów. U góry zobaczysz wynik „Ważny” lub „Nieważny”, a bez sekretu lub klucza — „Niezweryfikowany”. Narzędzie nie weryfikuje innych algorytmów.

Jeśli payload zawiera exp, iat lub nbf jako liczbę, narzędzie wyświetla te claimy nad payloadem jako daty w UTC. Przy exp zobaczysz czas pozostały do wygaśnięcia tokenu lub czas, jaki upłynął od jego wygaśnięcia. Wygasłe exp jest oznaczone na czerwono. Jeśli nbf wskazuje przyszłość, zobaczysz, od kiedy token będzie ważny.

Tak. Edytuj bezpośrednio nagłówek lub payload, na przykład exp, role lub własne claimy, albo wybierz inny algorytm. Gdy tylko coś zmienisz, w polu „Encoded (JWT)” na bieżąco powstanie nowy token podpisany twoim sekretem. Podpisywanie działa tylko z HS256, HS384 i HS512: algorytmy RS, PS i ES wymagałyby klucza prywatnego, którego narzędzie nie używa.

Skopiuj i wklej tylko część po „Bearer ”. Prefiks nie jest usuwany automatycznie, a JWT musi składać się z dokładnie trzech części oddzielonych kropkami (nagłówek.payload.podpis). Z prefiksem nie da się odczytać nagłówka i narzędzie wyświetli błąd.

JWT składa się z trzech części zakodowanych w Base64URL, oddzielonych kropkami: nagłówka (np. alg i typ), payloadu z claimami oraz podpisu. Wstępnie wczytany przykład pokazuje tę strukturę: token HS256 z sub, name i iat, który po weryfikacji przykładowym sekretem otrzymuje wynik „Ważny”.