key JWT-Decodierer star

Wie es funktioniert

Ein JSON Web Token ist eine kompakte Zeichenkette aus drei Base64URL-kodierten Teilen, die durch Punkte verbunden sind: header.payload.signature. Base64URL ist eine URL-sichere Variante von Base64, die +// durch -/_ ersetzt und die abschließende =-Auffüllung weglässt, damit das Ergebnis ohne Escaping in einer URL oder einem HTTP-Header stehen kann. Der Header ist ein kleines JSON-Objekt, das den Signaturalgorithmus und den Tokentyp benennt — typischerweise {"alg":"HS256","typ":"JWT"}. Die Payload ist ein JSON-Objekt aus "Claims": beliebigen Schlüssel/Wert-Paaren, die beschreiben, wen das Token repräsentiert und wozu es berechtigt, dazu einige registrierte Zeit-Claims — iat (ausgestellt am), nbf (nicht gültig vor) und exp (Ablauf), alle als Unix-Zeitstempel gespeichert. Die Signatur wird über die ersten beiden Teile mit dem im Header genannten Algorithmus und einem Schlüssel berechnet, den nur der ausstellende Server besitzt.

Fügen Sie hier ein Token ein, und das Tool teilt es an seinen beiden Punkten, dekodiert Header und Payload per Base64URL und formatiert beide als eingerücktes JSON. Etwaige exp/iat/nbf-Werte werden zusätzlich in ein lesbares Datum umgerechnet, mit einem Abzeichen, das auf einen Blick zeigt, ob das Token aktuell abgelaufen ist.

JWTs sind das Rückgrat der meisten modernen Authentifizierungssysteme: OAuth-2.0-Access-Tokens, OpenID-Connect-ID-Tokens und eigene Session-Systeme nutzen alle dieses Format, weil es einem Server erlaubt, ein in sich geschlossenes Credential auszustellen, das andere Dienste ohne Datenbankabfrage lesen können — solange sie die Signatur prüfen können. Verbreitete Algorithmen sind HS256 (HMAC mit gemeinsamem Geheimnis) und RS256/ES256 (asymmetrische RSA- oder Elliptische-Kurven-Signaturen, bei denen der Aussteller einen privaten Schlüssel behält und jeder mit dem passenden öffentlichen Schlüssel prüfen kann).

Was Sie wissen sollten

Dekodieren ist nicht verifizieren. Header und Payload sind nur kodiert, nicht verschlüsselt — jeder kann sie ohne Schlüssel lesen, und jeder kann ebenso ein Token mit beliebigen Claims fälschen. Was ein JWT vertrauenswürdig macht, ist ausschließlich seine Signatur, und deren Prüfung benötigt das Geheimnis (HMAC-Algorithmen) oder den öffentlichen Schlüssel des Ausstellers (RSA/ECDSA-Algorithmen). Diese Prüfung gehört auf einen Server, der den Schlüssel besitzt; sie kann nicht sicher in einem Browser-Tool erfolgen, da das Offenlegen eines Geheimnisses dort dessen Zweck zunichtemachen würde. Betrachten Sie diesen Decoder ausschließlich als Debugging-Hilfe — nie als Beweis dafür, dass ein Token echt oder noch gültig ist.

Gehen Sie auch mit dem, was Sie einfügen, sorgfältig um: Ein JWT trägt Sitzungs- oder Berechtigungsdaten, behandeln Sie es also wie ein Passwort und vermeiden Sie es, echte Produktions-Tokens auf einem gemeinsam genutzten Rechner in irgendein Tool einzufügen. Tokens mit fünf durch Punkte getrennten Teilen sind JWE (verschlüsselt), nicht JWS (signiert) — dieser Decoder verarbeitet die weitaus gebräuchlichere signierte Variante. Und vertrauen Sie in eigenem Verifikationscode nie blind dem alg-Feld — ein bekannter Angriff verleitet naive Implementierungen dazu, alg: none zu akzeptieren oder RS256 gegen HS256 auszutauschen, weshalb die Signaturprüfung in geprüfte Bibliotheken gehört und nicht in selbst geschriebenen Code.