So funktioniert es
- 1JWT in das Eingabefeld einfügen.
- 2Header und Payload als formatiertes JSON lesen, Algorithmus ablesen.
- 3exp, iat und nbf als Datum mit Status „Abgelaufen“, „Gültig“ oder „Noch nicht gültig“ prüfen.
- 4Optional bei HS256/384/512 das Secret eingeben und die Signatur verifizieren.
Aufbau eines JWT
Ein JWT besteht aus drei Base64url-kodierten Teilen, getrennt durch Punkte: Header (Algorithmus und Typ), Payload (Claims wie sub, exp, iat oder eigene Felder) und Signatur. Header und Payload sind nur kodiert, nicht verschlüsselt – jeder, der das Token hat, kann sie lesen. Speichern Sie deshalb keine Passwörter oder sensiblen Daten im Payload.
Zeit-Claims und Signaturprüfung
Die Unix-Zeitstempel exp (Ablauf), iat (ausgestellt) und nbf (nicht vor) werden in lesbare Daten umgerechnet und mit der aktuellen Zeit verglichen. Für HMAC-Tokens (HS256, HS384, HS512) können Sie die Signatur mit dem Secret über die Web Crypto API prüfen, auch wenn das Secret Base64-kodiert ist. RS256, ES256 und andere asymmetrische Verfahren werden angezeigt, aber nicht verifiziert. Tokens mit alg: none werden als unsigniert gewarnt.
Sicherheit
Das Token wird ausschließlich lokal im Browser dekodiert und nicht übertragen. Trotzdem gilt: Fügen Sie niemals echte Produktions-Tokens oder Secrets in Web-Tools ein. Nutzen Sie Test-Tokens oder abgelaufene Tokens zur Fehlersuche.
Häufige Fragen
Ist ein JWT verschlüsselt?
Nein, ein signiertes JWT (JWS) ist nur Base64url-kodiert. Die Signatur schützt vor Manipulation, nicht vor dem Mitlesen.
Wie erkenne ich, ob ein Token abgelaufen ist?
Am Claim exp. Der Decoder rechnet ihn in ein Datum um und zeigt „Abgelaufen“, wenn der Zeitpunkt in der Vergangenheit liegt.
Kann ich RS256-Signaturen prüfen?
Nein, die Prüfung unterstützt nur HMAC-Verfahren (HS256, HS384, HS512) mit Secret.
Wird mein Token gespeichert?
Nein. Die Dekodierung erfolgt im Browser, es wird nichts gesendet oder gespeichert.
Mit den Ergebnissen nicht zufrieden?
Sprechen Sie mit Webin Agency über schnelle, SEO-freundliche Websites, E-Commerce und Google-Ads-Betreuung.