Zdekoduj JSON Web Token lokalnie w przeglądarce do czytelnego JSON: nagłówek i payload stają się widoczne, całkowicie bez wysyłania.
Przetwarzanie lokalnie na Twoim urządzeniu ...
0%
Twoje pliki nigdy nie opuściły urządzenia
Nie. Wszystko działa w Twojej przeglądarce - Twój plik nigdy nie opuszcza urządzenia. Jak to sprawdzić
JSON Web Token (JWT, RFC 7519) to zwarty token złożony z trzech części oddzielonych kropkami: nagłówka, payloadu i podpisu. Nagłówek i payload to po prostu JSON zakodowany w Base64URL (RFC 7515), nie sekret, lecz jedynie bezpieczny w transporcie zapis. To narzędzie rozdziela części, dekoduje nagłówek i payload z powrotem oraz wyświetla zawarty JSON z czytelnymi wcięciami. Od razu widzisz, jaki algorytm jest zadeklarowany i jakie informacje (claimy) przenosi token.
Ważne i uczciwie: to narzędzie tylko dekoduje, nie weryfikuje podpisu. Prawdziwa weryfikacja wymaga sekretu lub klucza publicznego wystawcy, o który to narzędzie świadomie nigdy nie prosi. Zdekodowany token nie jest więc jeszcze tokenem zaufanym: jego treść mogła zostać zmanipulowana. Korzystaj z tego podglądu, aby rozumieć i debugować (jakie claimy, kiedy wygasa exp, jaki jest iss), nigdy jako dowodu autentyczności.
Całe przetwarzanie odbywa się w pełni lokalnie w przeglądarce w czystym JavaScripcie: token nie jest wysyłany, nie jest zapisywany i żadna obca biblioteka nie jest doczytywana z CDN. To kluczowe właśnie przy tokenach, bo token dostępu czy ID nie ma czego szukać w cudzym formularzu online. Jeśli dane wejściowe nie są prawidłowym JWT, narzędzie uczciwie to zgłasza, zamiast wymyślać błędny wynik.
| Formaty wejściowe | Wprowadzanie tekstu |
|---|---|
| Format wyjściowy | JSON |
| Przetwarzanie wsadowe | Nie |
| Przetwarzanie | Lokalnie w przeglądarce (JavaScript) |
| Przesyłanie plików | Brak |
Ograniczenia: Samo dekodowanie bez weryfikacji podpisu: narzędzie NIE potwierdza, że token jest prawdziwy ani niezmieniony, bo do tego potrzebny byłby klucz wystawcy. Nie sprawdza też, czy token wygasł; pokazuje tylko zawarte claimy. Tokenów zaszyfrowanych (JWE) nie odszyfrowuje. Nagłówek i payload to wyłącznie Base64URL, a nie szyfrowanie, więc nigdy nie umieszczaj w payloadzie żadnych sekretów.
Nie. Dekodowanie odbywa się w całości lokalnie w przeglądarce; token nigdy nie opuszcza Twojego urządzenia i nie jest zapisywany.
Nie. Dekoduje tylko nagłówek i payload. Weryfikacja podpisu wymaga klucza wystawcy, o który to narzędzie świadomie nigdy nie prosi. Zdekodowany token nie jest tokenem zaufanym.
Zazwyczaj nie. Nagłówek i payload są jedynie zakodowane w Base64URL, co każdy może z powrotem odczytać. Dlatego nie umieszczaj w payloadzie sekretów.
Standardowe claimy: iss to wystawca, iat moment wystawienia, exp czas wygaśnięcia (jako czas uniksowy), sub podmiot. Narzędzie pokazuje je bez zmian; nie interpretuje ich.
Jeśli dane wejściowe nie są prawidłowym JWT (zła liczba części lub uszkodzony Base64URL), narzędzie zgłasza uczciwy błąd, zamiast podawać błędny wynik.