JWT decoderen

Een JSON Web Token (JWT, RFC 7519) is een compact token dat bestaat uit drie met punten gescheiden delen: header, payload en handtekening. De header en payload zijn slechts Base64URL-gecodeerde JSON (RFC 7515), geen geheim maar enkel een transportveilige schrijfwijze. Deze tool splitst de delen, decodeert header en payload terug en toont de JSON netjes ingesprongen. In een oogopslag zie je welk algoritme is opgegeven en welke gegevens (claims) het token meedraagt.

Belangrijk en eerlijk: deze tool decodeert alleen, hij controleert de handtekening niet. Een echte controle vereist het geheim of de publieke sleutel van de uitgever, waar deze tool bewust nooit om vraagt. Een gedecodeerd token is dus nog geen vertrouwd token: de inhoud kan zijn gemanipuleerd. Gebruik de weergave om te begrijpen en te debuggen (welke claims, wanneer verloopt exp, welke iss), nooit als bewijs van echtheid.

De hele verwerking gebeurt volledig lokaal in je browser in pure JavaScript: het token wordt niet geuploaded, niet opgeslagen en er wordt geen externe bibliotheek vanaf een CDN nageladen. Dat is juist bij tokens cruciaal, want een access- of ID-token hoort niet thuis in een online formulier van iemand anders. Is de invoer geen geldig JWT, dan meldt de tool dat eerlijk in plaats van een verkeerd resultaat te verzinnen.

Technische gegevens

In 3 stappen

1. Plak de JWT in het tekstveld.
2. Klik op decoderen.
3. Lees of download header en payload als JSON.

Beperkingen: Puur decoderen zonder handtekeningcontrole: de tool bevestigt NIET dat een token echt of ongewijzigd is, daarvoor is de sleutel van de uitgever nodig. Het controleert ook niet of het token is verlopen; het toont alleen de claims. Versleutelde tokens (JWE) worden niet ontsleuteld. Header en payload zijn alleen Base64URL, geen versleuteling, dus zet nooit geheimen in de payload.

Veelgestelde vragen

Gerelateerde tools

• Coderen naar Base64
• Controlesom berekenen
• UUID-generator