Dekoder JWT

Wklej token JWT, a zobaczysz jego nagłówek i dane, kiedy wygasa - i czy podpis zgadza się z Twoim sekretem.

Token

Nagłówek

Dane (payload)

Sprawdź podpis

Sekret (HS256, HS384, HS512)

Wszystko dzieje się w Twojej przeglądarce - nic, co tu wpiszesz, nie trafia na żaden serwer.

Jak to działa

Z czego składa się JWT

Token JWT to trzy części oddzielone kropkami: nagłówek (algorytm podpisu), dane (np. identyfikator użytkownika, role, daty) i podpis. Nagłówek i dane są tylko zakodowane w Base64URL - każdy może je odczytać. Podpis gwarantuje, że nikt ich nie zmienił.

Daty w tokenie

iat to moment wystawienia tokena, nbf - od kiedy jest ważny, exp - kiedy wygasa. Zapisane są jako znaczniki czasu Unix (sekundy od 1970 roku); dekoder pokazuje je jako zwykłe daty i mówi, czy token jest teraz ważny.

Najczęstsze pytania

Czy bezpiecznie jest wklejać tu token?

Token jest dekodowany w Twojej przeglądarce i nie trafia na żaden serwer. Mimo to nie wklejaj nigdzie tokenów z produkcji, jeśli nie musisz - kto ma ważny token, może się nim posłużyć.

Czy JWT jest zaszyfrowany?

Nie - standardowy JWT jest tylko podpisany. Nie umieszczaj w nim haseł ani danych, których nie powinien zobaczyć użytkownik.

Dlaczego nie mogę sprawdzić podpisu RS256?

RS256 i ES256 podpisuje się kluczem prywatnym, a sprawdza publicznym (np. z adresu JWKS dostawcy logowania). To narzędzie weryfikuje podpisy HMAC oparte na wspólnym sekrecie.