JWT декодер онлайн

Q: Можно ли проверить подпись в этом инструменте?

Нет. Для верификации нужен секрет или публичный ключ. Используйте серверную библиотеку: jsonwebtoken, pyjwt, jjwt.

Q: Данные уходят на сервер?

Нет, разбор идёт в браузере. Токен не передаётся на серверы.

Q: Почему payload читается, если он base64?

JWT использует base64url - это кодирование, не шифрование. Для секретных данных используйте JWE.

Расшифровка JSON Web Token: разберёт header.payload.signature, покажет JSON в читабельном виде, подсветит стандартные claims (iss, sub, exp, iat, aud) и предупредит об истёкшем токене. Работает в браузере - токен не покидает устройство.

JWT (header.payload.signature)

Payload payload

—

Signature signature

—

Что такое JWT и зачем нужен декодер

JSON Web Token (JWT, RFC 7519) - компактный формат передачи claims между сторонами. Токен состоит из трёх base64url-кодированных частей, разделённых точкой: header (алгоритм подписи), payload (сами данные) и signature (подпись). Декодер разбирает первые две части в читабельный JSON. Проверить подпись без секрета/публичного ключа нельзя - для этого используйте библиотеку в бэкенде.

Как разобрать JWT за 3 шага

Скопируйте токен из cookie, Authorization header (Bearer ...) или ответа API.
Вставьте в поле. Разбор произойдёт автоматически - header и payload сразу превратятся в JSON.
Смотрите claims-таблицу. exp и iat конвертируются в человекочитаемые даты, истёкшие токены подсвечиваются красным.

Стандартные claims (RFC 7519)

iss - issuer, кто выпустил токен
sub - subject, кому выпущен (user id)
aud - audience, для какого сервиса предназначен
exp - expiration time (unix seconds), после которого токен невалиден
nbf - not before, с какого момента валиден
iat - issued at, когда выпущен
jti - JWT ID, уникальный идентификатор токена

FAQ

Можно ли проверить подпись в этом инструменте?

Нет. Для верификации нужен секрет (HS256) или публичный ключ (RS256/ES256) - мы не хотим, чтобы вы вставляли их на страницу. Проверяйте подпись серверной библиотекой: jsonwebtoken (Node), pyjwt (Python), jjwt (Java).

Данные уходят на сервер?

Нет, разбор идёт в браузере. Токен не передаётся на наши серверы.

Почему payload читается, если он base64?

JWT использует base64url - вариант base64 с заменой +// на -/_ и без padding. Это не шифрование, а кодирование. Любой может прочитать содержимое - для секретных данных используйте JWE (JSON Web Encryption).

Почему токен с alg: none опасен?

Некоторые старые библиотеки принимают токены без подписи, если в header указано "alg": "none". Атакующий может подделать любой payload. Серверная проверка должна явно отвергать none и enforce'ить ожидаемый алгоритм.