JWT-Decoder: JWT-Token online dekodieren | Kostenlos

A Nein, eine Änderung der Nutzdaten zerbricht die Signatur. Die Signatur ist ein kryptografischer Hash aus dem codierten Header und den Nutzdaten, kombiniert mit einem geheimen Schlüssel. Selbst ein einziges Zeichen im Payload macht die Signatur ungültig. Genau dafür sind JWTs da — Manipulationserkennung. Stellen Sie es sich wie einen versiegelten Umschlag mit einem Wachssiegel vor. Unser Tool zeigt den Inhalt, aber jede Änderung macht das Token komplett ungültig.

A Der 'iat'-Anspruch (issued at) ist ein Unix-Zeitstempel in Sekunden. Wenn Ihre Systemuhr um mehr als ein paar Minuten abweicht, sehen Sie ein zukünftiges Datum. Die meisten Server erlauben eine Toleranz von 30-60 Sekunden. Prüfen Sie zuerst die Zeitsynchronisation Ihres Geräts – das ist der übliche Übeltäter. Unser Tool wandelt diesen Zeitstempel in ein lesbares Datum um, sodass Sie Abweichungen sofort erkennen.

A Er verarbeitet Standard-JWTs zuverlässig. Aber ein Token mit fehlenden Punkten, ungültiger Base64-Polsterung oder Sonderzeichen löst einen klaren Parsing-Fehler aus – Sie sehen genau, wo es hakt. Enthält der Payload etwa ein zusätzliches '='-Zeichen, zeigt das Tool die Diskrepanz. Praktisch zum Debuggen fehlerhafter Tokens von Drittanbieter-APIs. Nutzen Sie besser ein korrekt kodiertes Token, um Fehlalarme zu vermeiden.

A Ja, auf jeden Fall. Ein JWT funktioniert wie ein digitaler Schlüssel – wer ihn besitzt, kann sich bis zum Ablauf als der Benutzer ausgeben. Deshalb niemals Produktions-Tokens auf dubiose Seiten einfügen. Unser Tool verarbeitet alles lokal im Browser, dein Token verlässt nie deinen Rechner. Setze kurze Ablaufzeiten (maximal 15 Minuten) und widerrufe Tokens serverseitig. Ein durchgesickertes JWT mit 24 Stunden Gültigkeit ist ein erhebliches Sicherheitsrisiko.

A Der 'nbf' (not before) Wert gibt an, dass der Token erst ab diesem Zeitpunkt gültig ist. Server lehnen ihn ab, wenn er zu früh verwendet wird – häufig passiert das bei Zeitabweichungen zwischen Systemen. Prüfen Sie, ob die Uhr des Ausstellers per NTP synchronisiert ist. Unser Tool rechnet diesen Unix-Timestamp in Ihre lokale Zeit um. Liegt 'nbf' 30 Sekunden in der Zukunft? Dann warten Sie kurz vor dem Testen.

A Füge dein Token in das Textfeld ein und klicke auf 'Decodieren' – die Ergebnisse erscheinen im rechten Panel, niemals in der Browser-Konsole. Es werden auch keine Netzwerkanfragen ausgelöst, also taucht nichts im Network-Tab der DevTools auf. Ein Stolperstein: Wenn du das Token aus der URL-Leiste kopierst, achte darauf, den vollständigen String zu erwischen, nicht eine abgeschnittene Version. Manche URLs haben Query-Parameter, die die Signatur abschneiden. Ich würde danach auch die Zwischenablage leeren, falls du an einem geteilten Rechner arbeitest.

A Sie sehen ein klares Warnbanner oben im Ergebnisbereich, und der Signaturabschnitt zeigt einen roten Hinweis auf die Abweichung. Header und Payload werden trotzdem korrekt dekodiert, aber Sie sollten keinen dieser Claims vertrauen. Wenn Sie das bei einer API-Antwort bemerken, wurde das Token wahrscheinlich unterwegs verändert oder mit einem anderen Secret signiert. Unser Tool prüft die Signatur nicht kryptografisch, es errät also nicht, warum sie abweicht. Kontrollieren Sie Ihren Signaturschlüssel und die exakte Token-Zeichenfolge — ein Leerzeichen oder ein fehlendes Zeichen ist meist die Ursache.

A Sind sie wahrscheinlich gar nicht — vielleicht gibt es ein Leerzeichen am Ende oder die Base64URL-Padding weicht ab. Schon ein einziges Zeichen in der Signatur ändert die Ausgabe. Wenn Header und Payload jedoch übereinstimmen, sind auch die Claims identisch, da diese Teile unabhängig dekodiert werden. Bei zwei verschiedenen Login-Vorgängen unterscheiden sich 'iat' und 'jti' aber fast immer. Unser Tool zeigt die Zeichenanzahl unter jedem dekodierten Abschnitt an, damit du die Abweichung sofort erkennst. Vergleiche zuerst die Rohstrings, bevor du den Server verdächtigst.

A Schaue nach dem 'exp'-Eintrag direkt im Payload-Bereich, sobald dein Token geladen ist. Dieser Unix-Zeitstempel zeigt dir die genaue Sekunde des Ablaufens, etwa 1715000000. Unser Werkzeug übersetzt diese Zahl sofort in deine Ortszeit, damit du nicht selbst rechnen musst. Liegt dieser Moment in der Vergangenheit, liefert dein Server den Fehler 401. Prüfe diesen Wert als Erstes bei plötzlichen Anmeldeproblemen.

A Deine Tokens verlassen beim Einfügen niemals den eigenen Browser. Der Decoder läuft komplett clientseitig mit JavaScript, sodass keine Daten an externe Server übertragen werden. Du kannst das überprüfen, indem du den Netzwerk-Tab im Browser während des Dekodierens beobachtest. Backend-Entwickler können sensible Produktionstokens so sicher testen.