Zeigt, was in einem JSON Web Token steckt.
JWT Debugger
Tiefenanalyse von Token-Headern und Claims. Lokal verarbeitet für leckfreie Analyse.
Claims, Ablaufzeiten, Issuer und Token-Struktur beim Debugging prüfen.
Zu entscheiden, dass ein Token vertrauenswürdig ist, nur weil du es lesen kannst.
Verstehen
Erst das mentale Modell, dann Vertrauen in das Ergebnis.
Kurzer, praktischer Kontext dazu, wofür das Tool da ist, wie es funktioniert und wo Menschen es falsch einschätzen.
Einfach erklärt
Ein JWT ist ein kompaktes Tokenformat für strukturierte Daten wie Benutzer-ID, Rollen oder Ablaufzeiten. Dieses Tool hilft dir, diese Inhalte lokal zu lesen.
So funktioniert es
Ein JWT besteht meist aus drei Teilen: Header, Payload und Signatur. Die ersten beiden Teile sind Base64URL-kodiertes JSON und daher leicht lesbar. Vertrauen entsteht aber erst durch die Signatur.
Ein JWT besteht aus drei Teilen mit Punkten dazwischen
Lesbarer Inhalt steckt in Header und Payload. Vertrauen entsteht erst durch korrekte Signaturprüfung.
Wofür man es nutzt
- Beim Debugging prüfen, wann ein Token abläuft.
- Claims wie Issuer, Subject, Audience oder Rollen ansehen.
- Nachvollziehen, warum ein Backend ein Token akzeptiert oder ablehnt.
Typischer Irrtum
Das Dekodieren eines JWT zeigt nur, was das Token behauptet, nicht ob es echt ist. Auch ein gefälschtes Token lässt sich oft problemlos dekodieren.
Geschichte / Fun Fact
JWT wurde beliebt, weil es klein und einfach zwischen Diensten transportierbar ist. Genau diese Bequemlichkeit führt aber oft dazu, dass Menschen den lesbaren Inhalt mit echter Vertrauenswürdigkeit verwechseln.
Sicherheitshinweis
Echte Verifikation bedeutet: Signatur mit dem richtigen Secret oder Public Key prüfen und Claims wie exp, aud und iss im passenden Anwendungskontext validieren.
Mehr Tiefe
Header vs Payload
Der Header beschreibt, wie das Token signiert ist. Die Payload enthält Claims. Beide Teile sind lesbar und keiner von beiden ist für sich allein vertrauenswürdig.
Was für echte Prüfung nötig ist
Zur JWT-Verifikation brauchst du den erwarteten Algorithmus, das richtige Secret oder den passenden Public Key und Claim-Validierung passend zu deiner Anwendung.