Декодер JWT

Free

Декодує заголовок і корисне навантаження JWT у читабельний JSON, перетворює твердження часової позначки на зручні для читання дати, позначає прострочені токени та може перевірити підпис HS256 із наданим вами секретом.

Токен JWT

Заголовок

Корисне навантаження

Перевірити підпис HS256 (опціонально)

Працює лише для токенів, підписаних HS256. Введіть секретний ключ, використаний для підпису цього токена.

Про цей інструмент

Декодує заголовок і корисне навантаження JWT без його перевірки.
Показує стандартні твердження часової позначки (exp, iat, nbf) у вигляді читабельних дат і позначає токени з вичерпаним терміном дії.
Опціонально перевіряє підпис HS256, якщо ви надаєте спільний секрет.

Недавня Активність

Видно всім. Останні 20 використань серед усіх відвідувачів, найновіші спочатку.

Decoded a JWT (RS256 algorithm)

18 годин тому

Decoded a JWT (HS256 algorithm)

18 годин тому

Decoded a JWT (HS256 algorithm)

18 годин тому

Коментарі (0)

Знайшли цей інструмент корисним? Залиште коментар, поділіться порадою, чи скажіть нам, як ми можемо покращити його.

Ще немає коментарів. Будьте першим, хто поділиться думками!

Що робить цей інструмент

Вставте JWT (JSON Web Token), і цей інструмент декодує його заголовок і корисне навантаження в читабельний JSON, перетворює стандартні твердження часової позначки на зручні для читання дати, позначає, чи минув термін дії токена, і може опціонально перевірити підпис HS256 за наданим вами секретом.

Як Це Працює

JWT складається з трьох розділених крапками сегментів, закодованих у base64url: заголовка, корисного навантаження та підпису. Цей інструмент розділяє токен за крапками, декодує сегменти заголовка та корисного навантаження з base64url назад у текст JSON і аналізує їх. Для перевірки підпису він повторно обчислює HMAC-SHA256 над сегментами заголовка та корисного навантаження, використовуючи наданий вами секрет, за допомогою вбудованого в браузер Web Crypto API, і порівнює результат побайтово з сегментом підпису токена.

Проблеми, які це вирішує

Вивчення того, які твердження та алгоритм насправді містить JWT, під час налагодження процесу автентифікації.
Швидка перевірка, чи токен вже прострочений, без написання будь-якого коду.
Підтвердження того, що токен був підписаний конкретним секретом HS256, коли ви контролюєте цей секрет.

Часті запитання

›Чи перевіряє цей інструмент справжність мого токена?

Саме лише декодування не підтверджує справжність, оскільки заголовок і корисне навантаження лише закодовані в base64url, а не зашифровані, і будь-хто може прочитати їх без ключа. Щоб перевірити, чи токен дійсно підписаний очікуваною стороною, скористайтеся опціональним полем перевірки підпису нижче, яке підтримує лише алгоритм HS256.

›Чому це може перевіряти лише підписи HS256?

HS256 використовує один спільний секрет як для підпису, так і для перевірки, тому цей інструмент може перевірити підпис, використовуючи лише наданий вами секрет. RS256, ES256 та інші асиметричні алгоритми підписують закритим ключем і перевіряють іншим, відкритим ключем, який цей інструмент не збирає, тому їх безпечна перевірка тут не передбачена.

›Що означають твердження exp, iat і nbf?

Це стандартні твердження часової позначки JWT, усі виражені у форматі Unix-часу (секунди з 1970 року). Твердження exp означає момент закінчення терміну дії токена, iat означає момент його видачі, а nbf («не раніше») означає найраніший момент, з якого токен вважається чинним. Цей інструмент автоматично перетворює кожне з них на читабельну дату.

›Мій токен показано як простроченим, що це означає?

Це означає, що твердження exp у корисному навантаженні містить часову позначку, яка є раніше поточного часу, тому сервер, що правильно перевіряє цей токен, відхилить його. Цей інструмент лише перевіряє твердження та годинник вашого пристрою, він не з'єднується з жодним сервером.

›Чи безпечно вставляти робочий (production) JWT у цей інструмент?

Токен декодується повністю у вашому браузері й ніколи нікуди не надсилається, тому вставити його тут так само безпечно, як переглянути його в консолі розробника вашого власного браузера. Тим не менш, ставтеся до будь-якого токена з чутливими твердженнями так само, як до пароля, і не вставляйте токени в інструменти, яким ви не довіряєте.

Редагуйте HTML, CSS та JavaScript у трьох панелях із живим ізольованим попереднім переглядом, що оновлюється під час введення тексту, плюс завантаження в один клік як окремого HTML-файлу.