JWT-Decoder und Debugger
Dekodieren Sie ein JWT-Token, um Header und Payload einzusehen, und prüfen Sie automatisch, ob es abgelaufen (exp) oder noch nicht aktiv (nbf) ist. Das Dekodieren erfolgt vollständig in Ihrem Browser – praktisch zum Debuggen einer Sitzung, ohne das Token jemals an einen Server zu senden.
⚠ Achtung: Die Signatur wird NICHT geprüft. Dieses Tool dekodiert den Inhalt des Tokens und prüft nur die im Payload angegebenen Zeitwerte exp/nbf. Es beweist in keiner Weise, dass das Token echt ist oder nicht verändert wurde: Die kryptografische Prüfung der Signatur muss immer serverseitig mit dem geheimen oder öffentlichen Schlüssel des Ausstellers erfolgen.
So funktioniert es
Ein JWT besteht aus drei durch Punkte getrennten Teilen: header.payload.signature. Header und Payload sind Base64URL-kodiert – nicht verschlüsselt – und damit für jeden ohne Schlüssel lesbar. Über das reine Dekodieren hinaus liest dieses Tool die Standard-Claims exp (Ablauf) und nbf („not before“) und vergleicht sie mit der aktuellen Uhrzeit Ihres Geräts. So sehen Sie sofort, ob ein JWT-konformer Server das Token allein nach diesem zeitlichen Kriterium akzeptieren oder ablehnen würde.
Was bedeuten exp und nbf genau?
exp (Ablauf) ist ein Unix-Zeitstempel, nach dem das Token als abgelaufen gelten muss. nbf („not before“) ist ein Unix-Zeitstempel, vor dem das Token noch nicht akzeptiert werden darf – nützlich für Tokens, die erst später aktiv werden sollen. Beide sind optional: Fehlen sie, legt das Token selbst keine entsprechende zeitliche Einschränkung fest.
Das Token ist hier gültig – warum lehnt meine API es trotzdem ab?
Weil dieses Tool nur die Struktur und die angegebenen Zeitwerte prüft, niemals die Signatur. Eine API kann ein Token auch aus anderen Gründen ablehnen: ungültige Signatur, falscher Aussteller (iss) oder falsche Zielgruppe (aud), serverseitig widerrufenes Token oder fehlende fachliche Claims. Keine dieser Prüfungen ist ohne Zugriff auf den geheimen bzw. öffentlichen Schlüssel des Ausstellers möglich – das bleibt immer eine Aufgabe des Servers.
Datenschutz: Das Dekodieren und die Zeitprüfungen erfolgen vollständig in Ihrem Browser über WebAssembly – der Inhalt des Tokens, selbst wenn er sensibel ist, verlässt Ihr Gerät niemals.