JWT-decoder online — JSON Web Tokens decoderen en vervaldatum controleren

Wat het doet

Een JSON Web Token (JWT) is een compacte string met drie delen gescheiden door punten: een header die het ondertekeningsalgoritme noemt, een payload met claims over de gebruiker of sessie, en een handtekening. JWT’s worden gebruikt voor loginsessies, OAuth 2.0-access tokens en OpenID Connect-ID-tokens.

De header en payload zijn alleen Base64URL-gecodeerd, niet versleuteld. Deze tool decodeert ze naar leesbare, opgemaakte JSON en legt de standaard tijdclaims uit, zodat je ziet voor wie het token is, welke rechten het meedraagt en of het verlopen is.

Zo gebruik je het

Plak een token in Gecodeerd token. Een Bearer aan het begin uit een Authorization-header wordt automatisch verwijderd.
Lees het statuslabel: Niet verlopen, Verlopen, Nog niet geldig of Geen vervaldatum.
Controleer de tijden voor uitgegeven op, niet vóór en vervaldatum, getoond in je lokale tijd en als Unix-seconden.
Kopieer de opgemaakte header- of payload-JSON met de knoppen Kopiëren.

Voorbeeld

Het voorbeeldtoken heeft deze header en payload:

{ "alg": "HS256", "typ": "JWT" }

{
  "sub": "1234567890",
  "name": "张三 Jane Doe",
  "roles": ["admin", "editor"],
  "iat": 1700000000,
  "exp": 4102444800
}

Veelgebruikte claims

iss uitgever, sub onderwerp (meestal het gebruikers-ID), aud doelgroep
iat uitgegeven op, nbf niet vóór, exp vervaltijd, allemaal in Unix-seconden
jti een uniek token-ID, vaak gebruikt om tokens in te trekken

Veelgestelde vragen

› Is het veilig om mijn token hier te plakken?

Het token wordt in je browser gedecodeerd en nergens naartoe gestuurd. Behandel productietokens toch als wachtwoorden; iedereen met een geldig token kan het gebruiken tot het verloopt.

› Verifieert deze tool de handtekening?

Nee. Verifiëren vereist de geheime sleutel (HS256) of de publieke sleutel van de uitgever (RS256, ES256). Decoderen leest alleen de inhoud, die niet versleuteld is maar alleen Base64URL-gecodeerd. Vertrouw nooit op claims uit een token dat je server niet heeft geverifieerd.

› Waarom staat er "Verlopen"?

De exp-claim ligt vóór de huidige tijd van je apparaat. Controleer of je klok goed staat en vraag daarna een nieuw token aan bij de uitgever.

› Kan het versleutelde tokens (JWE) decoderen?

Nee. Een JWE heeft vijf delen en de payload is versleuteld, dus die is niet te lezen zonder de ontsleutelingssleutel.