JWT Decoder

Willkommen beim JWT Decoder, einem leistungsstarken Online-Tool für Entwickler, um JSON Web Tokens (JWTs) sofort zu dekodieren und zu inspizieren. Egal, ob Sie Authentifizierungsprobleme debuggen, Token-Claims verifizieren oder etwas über die JWT-Struktur lernen möchten – dieses Tool bietet eine klare, farbcodierte Visualisierung aller Token-Komponenten, ohne Daten an externe Server zu senden.

Was ist ein JSON Web Token (JWT)?

Ein JSON Web Token (JWT, ausgesprochen wie "jot") ist ein offener Standard (RFC 7519), der eine kompakte, eigenständige Methode zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt definiert. JWTs werden weithin verwendet für:

• Authentifizierung: Nachdem sich ein Benutzer angemeldet hat, enthält jede nachfolgende Anfrage ein JWT, das den Zugriff auf Routen, Dienste und Ressourcen ermöglicht, die mit diesem Token erlaubt sind.
• Informationsaustausch: JWTs können Informationen sicher zwischen Parteien übertragen, da sie mit geheimen Schlüsseln (HMAC) oder öffentlichen/privaten Schlüsselpaaren (RSA, ECDSA) signiert werden können.
• Autorisierung: Server können Token-Claims verifizieren, um Benutzerberechtigungen zu bestimmen, ohne bei jeder Anfrage eine Datenbank abfragen zu müssen.

JWT-Struktur erklärt

Ein JWT besteht aus drei Teilen, die durch Punkte (.) getrennt sind:

1. Header (Rot)

Der Header enthält normalerweise zwei Informationen:

• alg: Der verwendete Signatur-Algorithmus (z. B. HS256, RS256, ES256)
• typ: Der Token-Typ, der immer "JWT" ist

2. Payload (Lila)

Die Payload enthält die Claims – Aussagen über den Benutzer und zusätzliche Metadaten. Es gibt drei Arten von Claims:

• Registrierte Claims: Vordefinierte Claims wie iss (Issuer), exp (Expiration), sub (Subject), aud (Audience)
• Öffentliche Claims: Benutzerdefinierte Claims, die im IANA JSON Web Token Registry registriert oder als URIs definiert sind
• Private Claims: Zwischen Parteien vereinbarte benutzerdefinierte Claims (z. B. user_id, role)

3. Signatur (Blau)

Die Signatur wird erstellt, indem der kodierte Header, die kodierte Payload, ein geheimer Schlüssel und der im Header angegebene Algorithmus kombiniert werden. Sie stellt sicher, dass das Token nicht manipuliert wurde.

Referenz für gängige JWT-Claims

JWT Signatur-Algorithmen

Symmetrische Algorithmen (HMAC)

• HS256: HMAC mit SHA-256 - Gleicher geheimer Schlüssel für Signatur und Verifizierung
• HS384: HMAC mit SHA-384
• HS512: HMAC mit SHA-512

Asymmetrische Algorithmen (RSA/ECDSA)

• RS256: RSA-Signatur mit SHA-256 - Privater Schlüssel signiert, öffentlicher Schlüssel verifiziert
• RS384: RSA-Signatur mit SHA-384
• RS512: RSA-Signatur mit SHA-512
• ES256: ECDSA mit P-256 Kurve und SHA-256
• ES384: ECDSA mit P-384 Kurve und SHA-384
• ES512: ECDSA mit P-521 Kurve und SHA-512

Sicherheitserwägungen

Dekodieren vs. Verifizieren

Wichtig: Dieses Tool dekodiert JWTs, aber verifiziert sie nicht. Das Dekodieren legt lediglich den Base64URL-kodierten Inhalt offen, während die Verifizierung den geheimen Schlüssel erfordert, um die Signatur zu validieren. Vertrauen Sie dekodierten Daten niemals ohne serverseitige Signaturprüfung.

Best Practices

• Verifizieren Sie Signaturen immer serverseitig, bevor Sie Claims vertrauen
• Verwenden Sie kurze Ablaufzeiten (exp) – normalerweise 15 Minuten bis 1 Stunde für Access-Token
• Speichern Sie keine sensiblen Daten in der Payload – sie ist kodiert, nicht verschlüsselt
• Verwenden Sie HTTPS, um das Abfangen von Token während der Übertragung zu verhindern
• Validieren Sie den Audience (aud) Claim, um Token-Missbrauch zu verhindern
• Nutzen Sie asymmetrische Algorithmen (RS256, ES256) für verteilte Systeme, in denen mehrere Dienste Token verifizieren müssen

Datenschutz & Sicherheit

Dieser JWT Decoder arbeitet vollständig in Ihrem Browser:

• Keine Server-Übertragung: Ihr JWT wird niemals an einen Server gesendet
• Clientseitige Verarbeitung: Die gesamte Dekodierung erfolgt in JavaScript in Ihrem Browser
• Keine Datenspeicherung: Wir speichern, protokollieren oder verfolgen Ihre Token nicht
• Open-Source-Logik: Sie können die Dekodierungslogik in den Entwicklertools Ihres Browsers einsehen

Häufig gestellte Fragen

Was ist ein JWT (JSON Web Token)?

Ein JSON Web Token (JWT) ist ein offener Standard (RFC 7519) zur sicheren Übertragung von Informationen zwischen Parteien als JSON-Objekt. JWTs werden häufig für die Authentifizierung und Autorisierung in Webanwendungen verwendet. Ein JWT besteht aus drei Teilen: Header (Algorithmus und Token-Typ), Payload (Claims/Daten) und Signatur (Verifizierung).

Ist es sicher, JWTs im Browser zu dekodieren?

Ja, das Dekodieren eines JWT im Browser ist sicher, da Header und Payload lediglich Base64URL-kodiert und nicht verschlüsselt sind. Denken Sie jedoch daran, dass das Dekodieren NICHT die Signatur des Tokens verifiziert. Vertrauen Sie dekodierten Daten niemals ohne ordnungsgemäße serverseitige Signaturprüfung. Dieses Tool dekodiert Token vollständig in Ihrem Browser - es werden keine Daten an einen Server gesendet.

Was bedeuten die verschiedenen Teile eines JWT?

Ein JWT besteht aus drei durch Punkte getrennten Teilen: 1) Header - Enthält den Algorithmus (alg) und den Token-Typ (typ), typischerweise HS256 oder RS256 für die Signatur. 2) Payload - Enthält Claims, also Aussagen über den Benutzer und zusätzliche Daten wie Ablaufzeit (exp), Ausstellungszeitpunkt (iat), Betreff (sub) usw. 3) Signatur - Erstellt durch Signieren des Headers und der Payload mit einem geheimen Schlüssel, um sicherzustellen, dass das Token nicht manipuliert wurde.

Warum kann ich die Signatur mit diesem Tool nicht verifizieren?

Die Signaturprüfung erfordert den geheimen Schlüssel (bei symmetrischen Algorithmen wie HS256) oder den öffentlichen Schlüssel (bei asymmetrischen Algorithmen wie RS256). Da dieses Tool zum Schutz der Privatsphäre vollständig in Ihrem Browser läuft, kann es nicht auf die geheimen Schlüssel Ihres Servers zugreifen. Verwenden Sie zur Signaturprüfung serverseitige Bibliotheken wie jsonwebtoken (Node.js), PyJWT (Python) oder jwt-go (Go).

Was sind gängige JWT-Claims?

Zu den gängigen registrierten Claims gehören: iss (Issuer), sub (Subject), aud (Audience), exp (Expiration Time), nbf (Not Before), iat (Issued At) und jti (JWT ID). Benutzerdefinierte Claims können user_id, E-Mail, Rollen, Berechtigungen oder anwendungsspezifische Daten enthalten. Zeitbasierte Claims (exp, nbf, iat) sind Unix-Zeitstempel.

Zusätzliche Ressourcen

• JWT.io - Offizielle JWT-Einführung
• RFC 7519 - JSON Web Token Spezifikation
• Auth0 - Dokumentation zu JSON Web Tokens