JWT Online dekodieren – Header, Nutzlast und Signatur

Fügen Sie ein JWT-Token ein, um seinen Header und seine Nutzlast im Format JSON zu überprüfen. Die Signatur wird separat angezeigt – wir überprüfen keine Signaturen und senden Ihr Token nicht an einen Server.

Laden…
JWT dekodieren – Token lokal prüfen
JWT-Header und Payload im Browser dekodieren. Optionale Inline-Signaturprüfung mit Secret (HMAC) oder Public Key (RSA, RSA-PSS, ECDSA, EdDSA). JWKS und Claims: jwt-verify.

Hier erfahren Sie, wie die JWT-Dekodierung funktioniert

Vollständiges Token einfügen (drei Base64URL-Segmente). Header und Payload als formatiertes JSON. Dekodierung aktualisiert sich automatisch. Editoren starten leer — **Beispiel laden** oder Algorithmus wählen, um eine Demo-Fixture zu laden. Optionale Prüfung mit Secret oder Public Key je nach Algorithmus. alg=none = unsigniert. Für JWKS, Audience oder Issuer: jwt-verify.

Datenschutz und Einschränkungen

Tokens verlassen nie Ihren Browser. Kein Remote-JWKS, keine exp/nbf/aud-Validierung hier. Mit jwt-encode für Fixtures oder jwt-verify für volle asymmetrische Trust-Policies kombinieren.

Typischer Arbeitsablauf

OAuth-Zugriffstoken

Beispieleingabe

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6Ikpv aG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Erwartete Ausgabe

Kopfzeile zeigt Alg/Typ; Die Nutzlast zeigt Sub, Exp und Scopes.

401-Fehler beheben

Beispieleingabe

Fügen Sie das Token aus der Registerkarte „Netzwerk“ ein

Erwartete Ausgabe

Überprüfen Sie den Exp-Anspruch und den Aussteller, bevor Sie API-Routen dafür verantwortlich machen.

Verwandte Encode-Utilities

HS256-Fixtures signieren: jwt-encode. Kodieren/Dekodieren hier verifiziert kein Vertrauen — dafür Identity-Provider nutzen.

JWT FAQ zum Dekodieren

Dekodieren ≠ verifizieren

Verifiziert dieses Tool Signaturen?

Optionale Inline-Prüfung für none (unsigniert), HMAC (HS256/384/512), RSA (RS256/384/512), RSA-PSS (PS256/384/512), ECDSA (ES256/384/512) und EdDSA (Ed25519) — Secret oder Public Key. Kein JWKS oder exp/aud/iss hier. Für erweiterte Checks jwt-verify. Dekodieren allein beweist keine Echtheit.

Wird mein Token an FastMinify gesendet?

Nie — Dekodierung bleibt im Browser.

Kann ich Refresh-Tokens sicher einfügen?

Verarbeitung bleibt lokal, aber Tokens als Secrets behandeln — Screen-Sharing vermeiden und Feld leeren.

Codierung

Kodieren oder dekodieren Sie Base64-, URL-Komponenten und HTML-Entitäten – nur clientseitig.

Weitere Werkzeugkategorien entdecken