JWT-avkodare och debugger: avkoda och verifiera token online

Ja. JWT-avkodaren och debuggern körs direkt på den här sidan i din webbläsare, utan konto, inloggning eller installation.

Nej. Avkodning, signering och signaturverifiering sker uteslutande i din webbläsare, med Web Crypto API för kryptografin. Token, hemliga nycklar och offentliga nycklar laddas inte upp. Riktiga JWT:er innehåller ändå ofta sessions- eller API-åtkomstuppgifter, så testtoken är ett bättre val för testning.

Ja. En JWT är inte krypterad: header och payload är bara Base64URL-kodade och kan läsas av vem som helst. Den hemliga eller offentliga nyckeln behövs bara för signaturverifiering och, för HS256, HS384 och HS512, för omsignering. Avkodning bevisar alltså inte att en token är äkta – det gör först signaturverifieringen.

För HS256, HS384 och HS512 anger du den hemliga nyckeln. Om headern anger RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 eller ES512 visas i stället ett fält för den offentliga nyckeln i PEM-format ”BEGIN PUBLIC KEY” (SPKI). RSA PUBLIC KEY (PKCS#1) och certifikat accepteras inte. Resultatet visas högst upp som ”Giltig” eller ”Ogiltig”, och utan nyckel som ”Inte verifierad”. Verktyget verifierar inte andra algoritmer.

Om payload innehåller exp, iat eller nbf som tal visar verktyget dessa claims som datum i UTC ovanför payload. För exp visas hur lång tid det är kvar tills token löper ut eller hur länge sedan den löpte ut. Ett utgånget exp markeras med rött. Om nbf ligger i framtiden ser du när token blir giltig.

Ja. Redigera header eller payload direkt, till exempel exp, roller eller egna claims, eller välj en annan algoritm. Så snart du ändrar något skapas en ny token, signerad med din hemliga nyckel, direkt i fältet ”Encoded (JWT)”. Signering fungerar bara med HS256, HS384 och HS512: RS-, PS- och ES-algoritmer skulle kräva en privat nyckel, som verktyget inte använder.

Kopiera bara delen efter ”Bearer ” och klistra in den. Prefixet tas inte bort automatiskt, och en JWT måste bestå av exakt tre delar åtskilda av punkter (header.payload.signatur). Med prefixet kan headern inte läsas och verktyget visar ett felmeddelande.

En JWT består av tre Base64URL-kodade delar åtskilda av punkter: header (t.ex. alg och typ), payload med claims och signatur. Det förifyllda exemplet visar strukturen: en HS256-token med sub, name och iat som verifieras som ”Giltig” med exempelnyckeln.