এই ডিকোডার তিন অংশের compact JWT গ্রহণ করে, এমনকি Authorization: Bearer prefix-সহ কপি করা token-ও। এটি structure পরীক্ষা করে, UTF-8 JSON parse করে এবং token-এর বর্তমান time window দেখায়। আপনার token browser-এই থাকে, কোথাও upload হয় না।
ফ্রি JWT ডিকোডার
পুরোটাই আপনার ব্রাউজারে চলে - কিছু আপলোড নেই, সাইন-আপ নেই।
ডিকোড করতে একটি টোকেন পেস্ট করুনহেডার, পেলোড, টাইমস্ট্যাম্প ও স্বাক্ষর সেগমেন্ট এখানে দেখা যাবে।
JWT ডিকোডার কী করে?
JWT ডিকোডার একটি JSON Web Token-এর Base64URL হেডার ও পেলোডকে পড়ার উপযোগী JSON-এ বদলে দেয়। টোকেন পেস্ট করে এর অ্যালগরিদম, ক্লেইম এবং exp, nbf ও iat-এর মতো NumericDate টাইমস্ট্যাম্প পরীক্ষা করুন। ডিকোডিং আপনার ব্রাউজারে হয়, তবে এটি টোকেনের স্বাক্ষর বা সত্যতা যাচাই করে না।
যেভাবে ব্যবহার করবেন
- 1JWT পেস্ট করুন. Input-এ একটি compact token বা Bearer value পেস্ট করুন। ডিকোডার সঙ্গে সঙ্গে update হবে।
- 2হেডার ও পেলোড পড়ুন. Format করা JSON, registered claim এবং সহজে পড়া যায় এমন UTC timestamp পরীক্ষা করুন।
- 3সতর্কতা দেখুন. Time status ও security note-কে debugging clue হিসেবে ব্যবহার করুন, তারপর application-এ signature verify করুন।
- 4প্রয়োজনীয় অংশ কপি করুন. Local debugging ও documentation-এর জন্য decoded header, payload বা raw signature segment কপি করুন।
কাদের জন্য
- API ডেভেলপাররা issuer, audience, subject ও custom claim পরীক্ষা করে authentication failure খুঁজে বের করেন।
- ফ্রন্টএন্ড টিম refresh ও sign-in flow debug করার সময় access token-এর মেয়াদ পরীক্ষা করে।
- সিকিউরিটি রিভিউয়াররা আরও গভীর verification-এর আগে unsigned token, অপ্রত্যাশিত algorithm বা ভুল NumericDate claim শনাক্ত করেন।
- সাপোর্ট ইঞ্জিনিয়াররা decoding script না লিখেই local test environment-এর সংবেদনশীল অংশ মুছে দেওয়া token পড়েন।
সাধারণ প্রশ্ন
JWT ডিকোডার কি ফ্রি?
হ্যাঁ। JWT ডিকোডার ফ্রি, কোনো account লাগে না এবং ব্যবহারের সীমাও নেই। এটি browser-এ locally চলে, তাই package install বা decoding API-তে token না পাঠিয়েই development token পরীক্ষা করতে পারবেন।
আমার JWT কি upload হয়?
না। JavaScript দিয়ে header ও payload decoding আপনার browser-এই হয়। Toolটি processing-এর জন্য token upload করে না। তবু screenshot, ticket বা message-এ production access token শেয়ার করবেন না, কারণ active bearer token পেলে অন্য কেউ সেটি ব্যবহার করতে পারে।
কত বড় JWT ডিকোড করা যায়?
Decoder-এ কৃত্রিম character limit নেই, তবে browser, proxy ও application server প্রায়ই header-এর ব্যবহারিক সীমা দেয়। খুব বড় token application-এ পৌঁছানোর আগেই ব্যর্থ হতে পারে, তাই production JWT claim ছোট রাখুন এবং বড় profile বা permission data ভেতরে রাখবেন না।
JWT ডিকোড করলে কি এর signature verify হয়?
না। Decoding শুধু encoded JSON দেখায়। Signature verification-এর জন্য সঠিক key, অনুমোদিত algorithm এবং issuer ও audience-এর মতো claim-এর application check দরকার। গ্রহণকারী system সব পরীক্ষা শেষ না করা পর্যন্ত decoded token-কে authentic ধরে নেবেন না।
JWT-এর মেয়াদ শেষ হয়েছে কি না বুঝব কীভাবে?
Unix epoch থেকে কেটে যাওয়া সেকেন্ডের NumericDate হিসেবে exp claim পড়ুন। ওই সময়ে বা তার পরে token গ্রহণ করা উচিত নয়। এই decoder exp-কে UTC-তে বদলে browser-এর বর্তমান ঘড়ির সঙ্গে তুলনা করে, তবে server-এর সময়ই চূড়ান্ত।
যে কেউ কি JWT payload ডিকোড করতে পারে?
Standard signed JWT যার কাছে আছে, সে সাধারণত header ও payload ডিকোড করতে পারে, কারণ Base64URL ভেতরের তথ্য লুকায় না। Claim-এ password, secret বা অপ্রয়োজনীয় personal data রাখবেন না। Encrypted JWE token-এ পাঁচটি segment থাকে, যা এই decoder-এর আওতার বাইরে।
ডিকোডার invalid timestamp warning দেখায় কেন?
RFC 7519 অনুযায়ী exp, nbf ও iat হলো NumericDate value: 1970-01-01T00:00:00Z থেকে কেটে যাওয়া সেকেন্ডের JSON number। String, invalid number বা millisecond value বিভ্রান্তিকর date দেখাতে পারে এবং strict JWT library তা reject করতে পারে।