So entschlüsseln Sie JWT-Tokens und prüfen Ansprüche sicher
Schnelle Antwort
So dekodieren Sie einen JWT: Fügen Sie das Token in den JWT-Decoder ein, und der Header und die Nutzlast werden sofort als formatiertes JSON angezeigt. Das Tool dekodiert die Base64URL-kodierten Teile lokal – Ihr Token verlässt Ihren Browser nie. Denken Sie daran: Beim Dekodieren werden nur Inhalte angezeigt. Die Signatur wird nicht überprüft.
Einführung
Ein JWT (JSON Web Token) ist ein kompaktes, URL-sicheres Tokenformat, das zur Authentifizierung und zum Informationsaustausch verwendet wird. Ein JWT besteht aus drei durch Punkte getrennten Teilen: header.payload.signature. Der Header gibt den Algorithmus und den Token-Typ an, die Nutzlast enthält Ansprüche (Benutzer-ID, Rollen, Ablauf) und die Signatur beweist, dass das Token nicht manipuliert wurde. Durch die Dekodierung eines JWT können Sie seinen Inhalt zum Debuggen überprüfen – durch die Dekodierung wird jedoch nicht die Authentizität überprüft. Diese Anleitung zeigt Ihnen, wie Sie JWTs sicher in Ihrem Browser dekodieren.
Schritt für Schritt
-
Öffnen Sie das JWT Decoder-Tool
Gehen Sie zur JWT Decoder-Tool-Seite. Das Tool akzeptiert jede beliebige JWT-Zeichenfolge (drei durch Punkte getrennte Base64URL-codierte Teile).
-
Fügen Sie Ihr JWT-Token ein
Fügen Sie JWT in das Eingabefeld ein. Ein typischer JWT sieht so aus: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyMSJ9.signature. Das Tool erkennt die drei Teile automatisch.
-
Überprüfen Sie den dekodierten Header
Das Tool Base64URL dekodiert den ersten Teil und zeigt ihn als JSON an. Der Header enthält normalerweise „alg“ (Algorithmus, z. B. HS256) und „typ“ (Typ, normalerweise „JWT“).
-
Überprüfen Sie die entschlüsselte Nutzlast (Ansprüche).
Das Tool dekodiert den zweiten Teil und zeigt die Ansprüche im Format JSON an. Zu den gängigen Ansprüchen gehören „sub“ (Betreff-/Benutzer-ID), „iat“ (ausgestellt unter), „exp“ (Ablauf) und „role“ (Benutzerrolle).
-
Überprüfen Sie die Signatur (dritter Teil)
Das Tool zeigt den Signaturteil an. Hinweis: Durch die Dekodierung wird die Signatur NICHT überprüft. Zur Verifizierung benötigen Sie den Signaturschlüssel und eine Verifizierungsbibliothek. Vertrauen Sie niemals den Behauptungen eines JWT, ohne die Signatur serverseitig zu überprüfen.
Beispiele
Dekodieren Sie ein einfaches JWT
Eingang: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyMSIsIm5hbWUiOiJBbGljZSIsImlhdCI6MTY5MzUyNjQwMH0.signature
Ausgabe: Header: {"alg":"HS256","typ":"JWT"}
Payload: {"sub":"user1","name":"Alice","iat":1693526400}
JWT mit Ablaufanspruch
Eingang: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTY5MzYxMjgwMH0.sig
Ausgabe: Header: {"alg":"HS256"}
Payload: {"sub":"admin","exp":1693612800}
Häufige Probleme
- Verwechslung von Dekodieren und Verifizieren – beim Dekodieren eines JWT wird nur dessen Inhalt gelesen; Es beweist NICHT, dass das Token authentisch ist. Überprüfen Sie die Signatur immer serverseitig mit dem Signaturschlüssel.
- Abgelaufenen Token vertrauen – überprüfen Sie den Anspruch „exp“ und lehnen Sie abgelaufene Token ab. Der Wert „exp“ ist ein Unix-Zeitstempel in Sekunden.
- Base64 vs. Base64URL – JWT verwendet Base64URL-Kodierung (keine Auffüllung, - und _ anstelle von + und /). Ein standardmäßiger Base64-Decoder schlägt bei JWT-Teilen fehl.
- Sensible Daten in der Nutzlast – JWT Nutzlasten sind für jeden lesbar, der über das Token verfügt. Speichern Sie keine Passwörter, Kreditkartennummern oder andere Geheimnisse in der Nutzlast.
Tipps
- Überprüfen Sie immer die serverseitige Signatur JWT, bevor Sie irgendwelchen Ansprüchen vertrauen – die Dekodierung allein ist keine Authentifizierung.
- Überprüfen Sie die Ansprüche „exp“ (Ablauf) und „nbf“ (nicht vorher), um sicherzustellen, dass das Token für die aktuelle Zeit gültig ist.
- Verwenden Sie kurzlebige Token (15–60 Minuten) mit Aktualisierungstoken für lange Sitzungen – minimiert den Schaden, wenn ein Token verloren geht.
- Verwenden Sie unseren JWT-Decoder für sicheres, lokales Debuggen – Ihr Token verlässt nie Ihren Browser.