Util Monster
Gratis
Indsæt en JWT (JSON Web Token) for straks at base64url-dekode dens header og payload til flot formateret JSON. Claimsene exp/iat/nbf vises som læsbare tidspunkter, med et badge der angiver, om tokenet er udløbet.
⚠️ Dette værktøj dekoder kun - det verificerer ikke signaturen. Der er bevidst ikke noget felt til hemmelig nøgle af sikkerhedshensyn. Hvis du har brug for signaturverificering, skal du bruge et JWT-bibliotek på serversiden.
En JWT har tre dele adskilt af punktummer: header.payload.signature. Headeren indeholder signeringsalgoritmen (alg) og tokentypen (typ); payloaden indeholder de faktiske claims (bruger-id, tilladelser, udstedelsestid osv.), som alle er base64url-kodet. Signaturen er header+payload signeret med en hemmelig nøgle (eller privat nøgle) og bruges til at bekræfte, at tokenet ikke er blevet manipuleret - men dette værktøj udfører ikke den verificering.
exp (expiration) er, hvornår tokenet udløber, iat (issued at) er, hvornår det blev udstedt, og nbf (not before) betyder, at tokenet ikke er gyldigt før det tidspunkt. Alle tre gemmes som Unix-tidsstempler (sekunder), som ikke er læsbare ved et hurtigt blik. Dette værktøj viser hver som både lokal tid og ISO 8601 og markerer med et "Udløbet"-badge, hvis exp ligger i fortiden.
At verificere en JWT-signatur kræver den hemmelige nøgle, der blev brugt til at signere den (HMAC-familien, f.eks. HS256) eller den tilsvarende offentlige nøgle (RSA/ECDSA-familien, f.eks. RS256/ES256). Det er en følsom operation, som hører hjemme på serversiden, så dette browserbaserede værktøj dekoder kun (så du kan inspicere indholdet) og beder aldrig om en hemmelig nøgle. Til reel verificering skal du bruge et JWT-bibliotek i backend (jsonwebtoken, PyJWT, firebase-admin osv.).