JWT-Decoder
Header und Claims eines JWT lesen, mit Zeitangaben in Klartext.
Läuft komplett in deinem Browser. Nichts wird gesendet oder gespeichert.
Gut zu wissen
Ein JWT hat drei Teile: Header, Payload und Signatur. Header und Payload sind nur base64url-kodiert und für jeden lesbar.
Der Decoder zeigt die Zeitangaben iat, nbf und exp in deiner Zeitzone und sagt, ob das Token abgelaufen ist. Die Signatur prüft er nicht, dafür brauchst du den Schlüssel.
Steht etwas Geheimes im Payload, gehört es dort nicht hin. JWTs sind signiert, nicht verschlüsselt.
Häufige Fragen
Wird mein Token übertragen?
Nein. Das Dekodieren passiert in deinem Browser.
Prüft das Werkzeug die Signatur?
Nein. Es liest nur Header und Payload. Ob ein Token echt ist, entscheidet die Signaturprüfung auf deinem Server.
Warum steht im Payload etwas Lesbares?
Weil JWTs signiert, aber nicht verschlüsselt sind. Lege keine Geheimnisse in den Payload.
Weitere Werkzeuge
Passwort-Generator
Starke Passwörter und API-Secrets mit dem Zufallsgenerator deines Browsers.
JSON-Formatter
JSON formatieren, minifizieren und prüfen, mit klarer Fehlermeldung.
Base64 kodieren und dekodieren
Text in Base64 und zurück, UTF-8-fest und auf Wunsch URL-sicher.
Unix-Zeitstempel
Epoch in Sekunden oder Millisekunden in ein Datum umrechnen und zurück.