Dieser Decoder verarbeitet kompakte JWTs mit drei Teilen, auch wenn sie mit dem Präfix Authorization: Bearer kopiert wurden. Er prüft die Struktur, parst UTF-8-JSON und zeigt die aktuelle zeitliche Gültigkeit an. Das Token bleibt im Browser und wird nicht hochgeladen.
Kostenloser JWT-Decoder
Läuft komplett in deinem Browser - kein Upload, keine Anmeldung.
Token zum Dekodieren einfügenHeader, Payload, Zeitstempel und Signatursegment erscheinen hier.
Was macht ein JWT-Decoder?
Ein JWT-Decoder wandelt den Base64URL-Header und die Payload eines JSON Web Token in lesbares JSON um. Fügen Sie ein Token ein, um Algorithmus, Claims und NumericDate-Zeitstempel wie exp, nbf und iat zu prüfen. Die Dekodierung erfolgt im Browser, bestätigt aber weder die Signatur noch die Echtheit des Tokens.
So funktioniert’s
- 1JWT einfügen. Kopieren Sie ein kompaktes Token oder einen Bearer-Wert in das Eingabefeld. Das Ergebnis wird sofort aktualisiert.
- 2Header und Payload lesen. Prüfen Sie das formatierte JSON, registrierte Claims und gut lesbare UTC-Zeitstempel.
- 3Warnungen prüfen. Nutzen Sie Zeitstatus und Sicherheitshinweise als Anhaltspunkte beim Debuggen und verifizieren Sie anschließend die Signatur in Ihrer Anwendung.
- 4Benötigte Daten kopieren. Kopieren Sie den dekodierten Header, die Payload oder das rohe Signatursegment für lokale Fehlersuche und Dokumentation.
Für wen
- API-Entwickler untersuchen Authentifizierungsfehler anhand von Aussteller, Zielgruppe, Subjekt und benutzerdefinierten Claims.
- Frontend-Teams kontrollieren beim Debuggen von Aktualisierungs- und Anmeldeabläufen den Ablauf eines Access-Tokens.
- Sicherheitsprüfer erkennen unsignierte Token, unerwartete Algorithmen oder fehlerhafte NumericDate-Claims vor der eigentlichen Verifikation.
- Support-Teams lesen ein anonymisiertes Token aus einer lokalen Testumgebung, ohne dafür ein Decoder-Skript zu schreiben.
Häufige Fragen
Ist der JWT-Decoder kostenlos?
Ja. Der JWT-Decoder ist kostenlos, benötigt kein Konto und hat kein Nutzungslimit. Er läuft lokal im Browser. So lassen sich Entwicklungs-Token ohne zusätzliches Paket und ohne Übertragung an eine Decoder-API untersuchen.
Wird mein JWT hochgeladen?
Nein. Header und Payload werden mit JavaScript im Browser dekodiert. Das Token wird nicht zur Verarbeitung hochgeladen. Teilen Sie produktive Access-Tokens trotzdem nicht in Screenshots, Tickets oder Nachrichten. Wer ein aktives Bearer-Token erhält, kann es möglicherweise verwenden.
Wie groß darf ein JWT zum Dekodieren sein?
Der Decoder setzt keine künstliche Zeichengrenze. Browser, Proxys und Anwendungsserver begrenzen jedoch häufig die Headergröße. Sehr große Token können schon vor der Anwendung scheitern. Halten Sie produktive JWT-Claims deshalb kompakt und betten Sie keine umfangreichen Profil- oder Berechtigungsdaten ein.
Wird beim Dekodieren eines JWT die Signatur geprüft?
Nein. Die Dekodierung macht nur das kodierte JSON sichtbar. Für die Signaturprüfung sind der richtige Schlüssel, ein erlaubter Algorithmus und Anwendungsprüfungen für Claims wie Aussteller und Zielgruppe erforderlich. Ein dekodiertes Token gilt erst nach diesen Kontrollen als authentisch.
Wie erkenne ich, ob ein JWT abgelaufen ist?
Lesen Sie den Claim exp als NumericDate in Sekunden seit Beginn der Unixzeit. Ab diesem Zeitpunkt darf das Token nicht mehr akzeptiert werden. Der Decoder wandelt exp in UTC um und vergleicht den Wert mit der Browserzeit. Maßgeblich bleibt die Uhr des Servers.
Kann jeder die Payload eines JWT dekodieren?
Bei einem üblichen signierten JWT normalerweise ja. Base64URL verbirgt den Inhalt von Header und Payload nicht. Speichern Sie daher keine Passwörter, Geheimnisse oder unnötigen personenbezogenen Daten in Claims. Verschlüsselte JWE-Token haben fünf Segmente und werden von diesem Decoder nicht unterstützt.
Warum meldet der Decoder einen ungültigen Zeitstempel?
RFC 7519 definiert exp, nbf und iat als NumericDate-Werte: JSON-Zahlen mit den Sekunden seit 1970-01-01T00:00:00Z. Ein String, eine ungültige Zahl oder ein Millisekundenwert kann irreführende Daten erzeugen und von strikten JWT-Bibliotheken abgelehnt werden.