Was ist ein JWT und was zeigt das Dekodieren?
Ein JSON Web Token besteht aus drei base64url-Teilen, die durch Punkte getrennt sind: header.payload.signature. Der Header nennt den Signaturalgorithmus, der Payload enthält die Claims wie sub, exp und iat, und die Signatur belegt, dass die ersten beiden Teile nicht verändert wurden. Dekodieren heißt einfach, die ersten beiden Teile base64url-dekodieren — das kann jeder, und es braucht nie einen Schlüssel.
Ein Token, das mit eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 beginnt, dekodiert zum Header {"alg":"HS256","typ":"JWT"}. Sein Payload, etwa {"sub":"42","exp":1735689600}, zeigt Nutzer 42 mit Ablauf am 1. Januar 2025. Der dritte Teil ist die Signatur: hier nur angezeigt, nicht geprüft. Ohne das HMAC-Secret oder den öffentlichen RSA/ECDSA-Schlüssel kann dieses Browser-Tool die Echtheit der Signatur nicht nachweisen — behandle ein dekodiertes Token also nie als vertrauenswürdig.
So dekodierst du ein JWT
- Füge das vollständige Token in das Feld JWT ein.
- Lies den dekodierten Header und Payload als JSON.
- Prüfe exp und iat, die als lesbare Daten angezeigt und bei Ablauf markiert werden.
- Kopiere einen Teil oder leere das Feld, um ein anderes Token zu testen.
Häufige Fragen zum JWT-Dekodieren
Prüft das Tool die Signatur?
Nein. Es dekodiert und zeigt nur Header, Payload und Signatur. Zur Prüfung braucht es das Secret oder den öffentlichen Schlüssel, den dieser Browser-Decoder bewusst nie erhält.
Ist es sicher, ein Token hier einzufügen?
Das Dekodieren läuft komplett im Browser, es wird nichts hochgeladen. Trotzdem solltest du keine Produktions-Tokens in Online-Tools einfügen — ein echtes Token ist ein gültiges Zugangsmittel.
Was bedeuten exp und iat?
Beides sind Unix-Zeitstempel in Sekunden: iat ist der Ausstellungszeitpunkt, exp der Ablaufzeitpunkt. Das Tool wandelt sie in Daten um und markiert ein abgelaufenes Token.
