JWT-Decoder
Häufige Fragen
Was man über JSON Web Tokens wissen sollte
Was ist ein JSON Web Token (JWT)?
Ein JWT ist ein offener Standard (RFC 7519), um Informationen kompakt und sicher als JSON-Objekt zwischen zwei Seiten zu übertragen. Er besteht aus drei durch Punkte getrennten Teilen: Kopf, Nutzlast und Signatur, jeweils in base64url. Verwendet wird er vor allem für die Anmeldung und den Austausch von Informationen.
Prüft dieses Werkzeug die Signatur des Tokens?
Nein. Es liest nur Kopf und Nutzlast und zeigt den Inhalt im Klartext. Die kryptografische Signatur wird nicht geprüft, dafür bräuchte es das Geheimnis oder den öffentlichen Schlüssel. Gelesen wird vollständig im Browser: Kein Token geht an einen Server.
Ist der Inhalt eines JWT geheim?
Nein, die Nutzlast eines üblichen JWT ist nur base64url kodiert, nicht verschlüsselt: Jeder kann sie lesen. Schreiben Sie also nie heikle Daten hinein. Die Signatur garantiert nur, dass der Token nicht verändert wurde, nicht dass sein Inhalt geheim bleibt. Für Vertraulichkeit braucht es Verschlüsselung (JWE).
Prüft der JWT-Decoder die Signatur?
Nein, der Decoder liest nur Kopf und Nutzlast und prüft die Signatur nicht. Ob ein Token echt ist, lässt sich nur mit dem geheimen Schlüssel entscheiden, und der bleibt auf dem Server, der ihn ausgestellt hat.
Woran erkenne ich, dass ein JWT abgelaufen ist?
Trägt die Nutzlast das Feld exp, wird der Wert in ein lesbares Datum mit Uhrzeit verwandelt, und das Token gilt gegenüber der Uhr Ihres Rechners als abgelaufen oder gültig. Auch das Feld iat erscheint als Datum.
Wird das eingefügte Token irgendwohin gesendet?
Nein, das Lesen läuft im Browser: Das Token wird an den Punkten getrennt, und die ersten beiden base64url-Teile werden bei Ihnen in JSON verwandelt, ohne Aufruf eines Servers.