JWT Decoder
Dekodieren Sie JSON Web Tokens (JWT), um Header- und Payload-Claims ohne Signaturprüfung anzuzeigen. Visualisieren Sie die Token-Struktur, analysieren Sie Claims, prüfen Sie Ablaufzeiten und beheben Sie Authentifizierungsprobleme ganz einfach. 100 % clientseitige Verarbeitung für maximale Privatsphäre.
🚀 Testen Sie diese Beispiel-JWTs:
Dein Adblocker verhindert, dass wir Werbung anzeigen
MiniWebtool ist kostenlos dank Werbung. Wenn dir dieses Tool geholfen hat, unterstütze uns mit Premium (werbefrei + schneller) oder setze MiniWebtool.com auf die Whitelist und lade die Seite neu.
- Oder auf Premium upgraden (werbefrei)
- Erlaube Werbung für MiniWebtool.com, dann neu laden
JWT Decoder
Willkommen beim JWT Decoder, einem leistungsstarken Online-Tool für Entwickler, um JSON Web Tokens (JWTs) sofort zu dekodieren und zu inspizieren. Egal, ob Sie Authentifizierungsprobleme debuggen, Token-Claims verifizieren oder etwas über die JWT-Struktur lernen möchten – dieses Tool bietet eine klare, farbcodierte Visualisierung aller Token-Komponenten, ohne Daten an externe Server zu senden.
Was ist ein JSON Web Token (JWT)?
Ein JSON Web Token (JWT, ausgesprochen wie "jot") ist ein offener Standard (RFC 7519), der eine kompakte, eigenständige Methode zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt definiert. JWTs werden weithin verwendet für:
- Authentifizierung: Nachdem sich ein Benutzer angemeldet hat, enthält jede nachfolgende Anfrage ein JWT, das den Zugriff auf Routen, Dienste und Ressourcen ermöglicht, die mit diesem Token erlaubt sind.
- Informationsaustausch: JWTs können Informationen sicher zwischen Parteien übertragen, da sie mit geheimen Schlüsseln (HMAC) oder öffentlichen/privaten Schlüsselpaaren (RSA, ECDSA) signiert werden können.
- Autorisierung: Server können Token-Claims verifizieren, um Benutzerberechtigungen zu bestimmen, ohne bei jeder Anfrage eine Datenbank abfragen zu müssen.
JWT-Struktur erklärt
Ein JWT besteht aus drei Teilen, die durch Punkte (.) getrennt sind:
1. Header (Rot)
Der Header enthält normalerweise zwei Informationen:
alg: Der verwendete Signatur-Algorithmus (z. B. HS256, RS256, ES256)typ: Der Token-Typ, der immer "JWT" ist
2. Payload (Lila)
Die Payload enthält die Claims – Aussagen über den Benutzer und zusätzliche Metadaten. Es gibt drei Arten von Claims:
- Registrierte Claims: Vordefinierte Claims wie
iss(Issuer),exp(Expiration),sub(Subject),aud(Audience) - Öffentliche Claims: Benutzerdefinierte Claims, die im IANA JSON Web Token Registry registriert oder als URIs definiert sind
- Private Claims: Zwischen Parteien vereinbarte benutzerdefinierte Claims (z. B.
user_id,role)
3. Signatur (Blau)
Die Signatur wird erstellt, indem der kodierte Header, die kodierte Payload, ein geheimer Schlüssel und der im Header angegebene Algorithmus kombiniert werden. Sie stellt sicher, dass das Token nicht manipuliert wurde.
Referenz für gängige JWT-Claims
| Claim | Name | Beschreibung |
|---|---|---|
iss |
Aussteller (Issuer) | Identifiziert, wer das JWT ausgestellt hat (z. B. Ihre Auth-Server-URL) |
sub |
Betreff (Subject) | Identifiziert den Betreff des JWT (normalerweise Benutzer-ID oder E-Mail) |
aud |
Zielgruppe (Audience) | Identifiziert die Empfänger, für die das JWT bestimmt ist |
exp |
Ablaufzeit | Unix-Zeitstempel, nach dem das JWT nicht mehr gültig ist |
nbf |
Nicht vor | Unix-Zeitstempel, vor dem das JWT nicht gültig ist |
iat |
Ausgestellt am | Unix-Zeitstempel, wann das JWT ausgestellt wurde |
jti |
JWT-ID | Eindeutige ID für das JWT (nützlich zur Verhinderung von Replay-Angriffen) |
JWT Signatur-Algorithmen
Symmetrische Algorithmen (HMAC)
HS256: HMAC mit SHA-256 - Gleicher geheimer Schlüssel für Signatur und VerifizierungHS384: HMAC mit SHA-384HS512: HMAC mit SHA-512
Asymmetrische Algorithmen (RSA/ECDSA)
RS256: RSA-Signatur mit SHA-256 - Privater Schlüssel signiert, öffentlicher Schlüssel verifiziertRS384: RSA-Signatur mit SHA-384RS512: RSA-Signatur mit SHA-512ES256: ECDSA mit P-256 Kurve und SHA-256ES384: ECDSA mit P-384 Kurve und SHA-384ES512: ECDSA mit P-521 Kurve und SHA-512
Sicherheitserwägungen
Dekodieren vs. Verifizieren
Wichtig: Dieses Tool dekodiert JWTs, aber verifiziert sie nicht. Das Dekodieren legt lediglich den Base64URL-kodierten Inhalt offen, während die Verifizierung den geheimen Schlüssel erfordert, um die Signatur zu validieren. Vertrauen Sie dekodierten Daten niemals ohne serverseitige Signaturprüfung.
Best Practices
- Verifizieren Sie Signaturen immer serverseitig, bevor Sie Claims vertrauen
- Verwenden Sie kurze Ablaufzeiten (
exp) – normalerweise 15 Minuten bis 1 Stunde für Access-Token - Speichern Sie keine sensiblen Daten in der Payload – sie ist kodiert, nicht verschlüsselt
- Verwenden Sie HTTPS, um das Abfangen von Token während der Übertragung zu verhindern
- Validieren Sie den Audience (
aud) Claim, um Token-Missbrauch zu verhindern - Nutzen Sie asymmetrische Algorithmen (RS256, ES256) für verteilte Systeme, in denen mehrere Dienste Token verifizieren müssen
Datenschutz & Sicherheit
Dieser JWT Decoder arbeitet vollständig in Ihrem Browser:
- Keine Server-Übertragung: Ihr JWT wird niemals an einen Server gesendet
- Clientseitige Verarbeitung: Die gesamte Dekodierung erfolgt in JavaScript in Ihrem Browser
- Keine Datenspeicherung: Wir speichern, protokollieren oder verfolgen Ihre Token nicht
- Open-Source-Logik: Sie können die Dekodierungslogik in den Entwicklertools Ihres Browsers einsehen
Häufig gestellte Fragen
Was ist ein JWT (JSON Web Token)?
Ein JSON Web Token (JWT) ist ein offener Standard (RFC 7519) zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt. JWTs werden häufig für die Authentifizierung und Autorisierung in Webanwendungen verwendet. Ein JWT besteht aus drei Teilen: Header (Algorithmus und Token-Typ), Payload (Claims/Daten) und Signatur (Verifizierung).
Ist es sicher, JWTs im Browser zu dekodieren?
Ja, das Dekodieren eines JWT im Browser ist sicher, da Header und Payload lediglich Base64URL-kodiert und nicht verschlüsselt sind. Denken Sie jedoch daran, dass das Dekodieren NICHT die Signatur des Tokens verifiziert. Vertrauen Sie dekodierten Daten niemals ohne ordnungsgemäße serverseitige Signaturprüfung. Dieses Tool dekodiert Token vollständig in Ihrem Browser - es werden keine Daten an einen Server gesendet.
Was bedeuten die verschiedenen Teile eines JWT?
Ein JWT besteht aus drei durch Punkte getrennten Teilen: 1) Header - Enthält den Algorithmus (alg) und den Token-Typ (typ), typischerweise HS256 oder RS256 für die Signatur. 2) Payload - Enthält Claims, also Aussagen über den Benutzer und zusätzliche Daten wie Ablaufzeit (exp), Ausstellungszeitpunkt (iat), Betreff (sub) usw. 3) Signatur - Erstellt durch Signieren des Headers und der Payload mit einem geheimen Schlüssel, um sicherzustellen, dass das Token nicht manipuliert wurde.
Warum kann ich die Signatur mit diesem Tool nicht verifizieren?
Die Signaturprüfung erfordert den geheimen Schlüssel (bei symmetrischen Algorithmen wie HS256) oder den öffentlichen Schlüssel (bei asymmetrischen Algorithmen wie RS256). Da dieses Tool zum Schutz der Privatsphäre vollständig in Ihrem Browser läuft, kann es nicht auf die geheimen Schlüssel Ihres Servers zugreifen. Verwenden Sie zur Signaturprüfung serverseitige Bibliotheken wie jsonwebtoken (Node.js), PyJWT (Python) oder jwt-go (Go).
Was sind gängige JWT-Claims?
Zu den gängigen registrierten Claims gehören: iss (Issuer), sub (Subject), aud (Audience), exp (Expiration Time), nbf (Not Before), iat (Issued At) und jti (JWT ID). Benutzerdefinierte Claims können user_id, E-Mail, Rollen, Berechtigungen oder anwendungsspezifische Daten enthalten. Zeitbasierte Claims (exp, nbf, iat) sind Unix-Zeitstempel.
Zusätzliche Ressourcen
Zitieren Sie diesen Inhalt, diese Seite oder dieses Tool als:
"JWT Decoder" unter https://MiniWebtool.com/de// von MiniWebtool, https://MiniWebtool.com/
vom miniwebtool-Team. Aktualisiert: 03. Feb. 2026