🔑 JWT-Dekoder

JSON-Web-Tokens dekodieren – siehe Header, Nutzlast und Ablauf

✓ Für immer kostenlos · ✓ Keine Anmeldung · ✓ Kein Upload · ✓ Offline-fähig

🔒 Deine Daten verlassen nie dein Gerät. Die gesamte Verarbeitung erfolgt lokal in deinem Browser mit Base64-Dekodierung mit JavaScript. Kein Upload, kein Server, kein Tracking.

Funktionen

Vollständige Token-Analyse — Dekodiere Header, Payload und Signatur eines beliebigen JWT und zeige sie an.
Ablaufprüfung — Ausstellung, Gültigkeitsbeginn und Ablauf als Datum in deiner Zeitzone, mit Live-Countdown: gültig, abgelaufen oder noch nicht gültig.
Claims-Anzeige — Jeder Claim genau so, wie er im Token steht — lange numerische IDs behalten alle Stellen, doppelte Schlüssel werden gemeldet.
Komplett offline — Die Dekodierung passiert in deinem Browser. Deine Tokens werden nie an einen Server gesendet.

So funktioniert's

JWT einfügen — Füge ein JSON Web Token in das Eingabefeld ein.
Dekodierte Teile prüfen — Sieh dir Header (Algorithmus, Typ), Payload (Claims, Zeitstempel) und Signatur an.
Ablauf prüfen — Sieh, ob das Token noch gültig oder bereits abgelaufen ist.

Anwendungsfälle

Authentifizierungsprobleme durch Prüfen der JWT-Claims debuggen
Prüfen, wann ein Token abläuft oder gültig wird und wer es ausgestellt hat
Tokens während der API-Entwicklung und beim Testen untersuchen
Den Aufbau von JWTs anhand echter Tokens kennenlernen

Häufig gestellte Fragen

Prüft das Tool die JWT-Signatur?

Nein. Es dekodiert das Token und zeigt, was es behauptet; die Signatur prüft es nicht, und das steht unter jedem Token. Zum Prüfen braucht man das Secret oder den Public Key des Ausstellers, und das gehört auf deinen Server — vertraue den Claims nie nur, weil sie sich sauber dekodieren ließen.

Ist es sicher, mein JWT hier einzufügen?

Das Token wird von JavaScript in diesem Tab dekodiert und weder irgendwohin gesendet noch gespeichert — öffne den Netzwerk-Tab und sieh zu, wie beim Einfügen keine Anfrage rausgeht. Trotzdem wirkt ein aktives Token wie ein Passwort: Nimm, wenn möglich, Test- oder abgelaufene Tokens.

Welche JWT-Formate werden unterstützt?

Signierte JWTs (JWS) in der üblichen dreiteiligen Form header.payload.signature, auch unsignierte Tokens mit alg „none“. Du kannst eine ganze Zeile „Authorization: Bearer …“, einen String in Anführungszeichen oder ein umbrochenes Token einfügen — Überflüssiges wird entfernt und benannt. Verschlüsselte Tokens (JWE, fünf Teile) lassen sich ohne den Schlüssel des Empfängers nicht lesen; die Seite sagt dir, wenn du eins eingefügt hast.

Warum steht hier 12345678901234567890, wenn ein anderer Decoder 12345678901234567000 zeigt?

Weil das Token genau das sagt. JavaScript-Zahlen fassen etwa 16 Stellen, also ändern Decoder, die das JSON parsen und neu ausgeben, lange IDs stillschweigend, machen aus 1.10 eine 1.1 und verwerfen doppelte Schlüssel. Dieser zeigt den Text des Tokens selbst, nur neu eingerückt.

Was bedeuten iat, nbf und exp?

Ausgestellt am, nicht vor und läuft ab: Sekunden seit dem 1. Januar 1970 (UTC). Die Seite zeigt sie als Datum in deiner Zeitzone mit Live-Countdown. Ein Wert in Millisekunden wird markiert, weil Bibliotheken ihn als Datum in Tausenden von Jahren lesen würden.

Aus dem Blog

📖 How to Decode a JWT (Safely — Without Leaking It) — Decode a JWT to read its header and payload in seconds — and why pasting a live token into a random online decoder can get your session hijacked.