Dekoder JWT
Lokalnie sprawdzaj nagłówek i dane JWT bez sugerowania weryfikacji podpisu.
Twoje dane zostają na tym urządzeniu i są przetwarzane w przeglądarce.Jak korzystać z Dekoder JWT
- Wklej JWT w zapisie kompaktowym z segmentem nagłówka, danych i podpisu.
- Lokalnie odkoduj oba obiekty JSON i przeczytaj ostrzeżenie o braku weryfikacji.
- Przejrzyj lub skopiuj sformatowane dane, nie traktując ich jako zaufanych.
Czytelne nie oznacza zaufane
Dwa pierwsze segmenty JWT to JSON zapisany w Base64URL, a Base64URL jest kodowaniem, nie szyfrem. Każdy, kto ma token, przeczyta zawarte w nim dane bez żadnego klucza — warto o tym pamiętać, zanim w polu tokenu wyląduje coś prywatnego.
Trzeci segment to podpis i to narzędzie go nie sprawdza. Nic tutaj nie weryfikuje wydawcy, odbiorcy, daty wygaśnięcia ani tego, czy token w ogóle ktokolwiek podpisał — pokazany nagłówek i dane to twierdzenia tokenu o sobie samym, a token może twierdzić, co autor wpisał.
Odpowiada więc na pytanie, co jest w tokenie, i to jest pytanie przydatne przy diagnozowaniu. Czy token jest ważny, to pytanie do usługi, która go przyjmie, przy użyciu klucza, który ma tylko ona.
Najczęstsze pytania o Dekoder JWT
Czy narzędzie weryfikuje podpis JWT?
Nie. Wyłącznie odkodowuje czytelną treść. Podpis musi zweryfikować backend znający oczekiwany algorytm i zaufany klucz.
Czy odkodowany token potwierdza wystawcę?
Nie. Każdy może zbudować nagłówek i dane. Nadal trzeba sprawdzić wystawcę, odbiorcę, daty ważności oraz podpis.
Czy token jest wysyłany na serwer?
Nie. Odkodowanie Base64URL i parsowanie JSON odbywa się tylko w bieżącej karcie, ale poufne tokeny produkcyjne nadal wymagają ostrożności.