So dekodierst du ein JWT
- Token einfügen, mit oder ohne „Bearer“.
- Dekodierten Header und Payload lesen.
- Ausstellungs- und Ablaufzeit in deiner Zeitzone prüfen.
Aufbau eines JWT
Ein Token besteht aus header.payload.signature. Header und Payload sind Base64URL-kodiertes JSON, die Signatur wird mit einem Geheimnis (HS256) oder privaten Schlüssel (RS256, ES256) darüber berechnet.
Authentifizierung debuggen
Dekodiert siehst du, ob ein Token abgelaufen ist, für welche Zielgruppe (aud) und welchen Aussteller (iss) es gilt und welche Rollen oder Scopes es trägt – die üblichen Ursachen für 401- und 403-Fehler.
Keine Geheimnisse in Tokens
Jeder mit dem JWT kann den Payload lesen – also nie Passwörter oder persönliche Daten hineinschreiben. Tokens kurzlebig halten und so speichern, dass fremde Skripte sie nicht lesen können.
Häufige Fragen
Ist es sicher, mein Token hier einzufügen?
Das Dekodieren läuft komplett im Browser, nichts wird gesendet oder gespeichert. Behandle Produktions-Tokens trotzdem wie Passwörter und nutze lieber Test-Tokens.
Was steckt in einem JWT?
Ein Header mit dem Signaturalgorithmus, ein Payload mit Claims wie Benutzer-ID, Ausstellungs- und Ablaufzeit sowie eine Signatur. Header und Payload sind nur Base64URL-kodiert, nicht verschlüsselt.
Was bedeuten iat, nbf und exp?
Issued at, not before und expiration – jeweils ein Unix-Timestamp in Sekunden.