JWT-parser
Dekod og verifiser JSON Web Tokens (JWT) umiddelbart. All behandling skjer i nettleseren din for maksimal sikkerhet og personvern.
Header
Payload
Signatur
Verifisering kjører lokalt med WebCrypto API. Nøkkelen forlater aldri denne siden.
Ugyldig tokenstruktur
Slik bruker du JWT-parseren
Lim inn tokenet ditt
Kopier og lim inn JWT-en din i inputfeltet ovenfor
Umiddelbar dekoding
Tokenet dekodes automatisk for å vise header, payload og signatur
Analyser
Se gjennom den dekodede informasjonen og sjekk tokenets gyldighet
Hva er en JWT?
JSON Web Token (JWT) er en åpen standard (RFC 7519) som definerer en kompakt og selvstendig måte å overføre informasjon sikkert mellom parter som et JSON-objekt.
JWT-struktur
En JWT består av tre deler atskilt med punktum:
Header
Inneholder metadata om tokenet, for eksempel algoritmen som brukes til signering
Payload
Inneholder claims (påstander) om en entitet og tilleggsmetadata
Signatur
Brukes til å verifisere at avsenderen av JWT-en er den den utgir seg for, og til å sikre at meldingen ikke er endret
Vanlige spørsmål
Ja, med dette verktøyet. All behandling skjer 100 % i nettleseren din. Tokenene dine sendes aldri til noen server. Vær likevel forsiktig med andre nettverktøy som kan sende tokenene dine til serverne sine.
For HMAC-baserte tokener (HS256 osv.) kan du verifisere signaturen hvis du har den hemmelige nøkkelen. For RSA-baserte tokener (RS256 osv.) trenger du den offentlige nøkkelen. Merk at denne verifiseringen gjøres på klientsiden for din bekvemmelighet.
En JWT utløper når nåværende tidspunkt passerer "exp"-claimen (utløp) i payloaden. Dette verktøyet viser om en token er utløpt, aktiv eller ikke gyldig ennå, basert på disse tidsclaimene.
Du kan endre payloaden, men signaturen vil ikke lenger være gyldig med mindre du har signeringsnøkkelen. Dette er sikkerhetsmekanismen til JWT-er - enhver endring ugyldiggjør signaturen.
"exp" (utløp) angir når tokenet skal slutte å være gyldig, mens "nbf" (ikke før) angir når tokenet blir gyldig. Du kan for eksempel sette "nbf" for å lage en token som blir gyldig i fremtiden.
Nei! JWT-payloaden er base64-kodet, ikke kryptert. Alle kan dekode og lese innholdet. Inkluder aldri passord, API-nøkler eller annen sensitiv informasjon i en JWT.
For produksjonsapplikasjoner, bruk asymmetriske algoritmer som RS256 eller ES256. Unngå algoritmen "none" siden den ikke gir noen sikkerhet. HS256 kan brukes, men krever nøye håndtering av hemmeligheter.
JWT er designet for å kunne dekodes uten spesialverktøy. Headeren og payloaden er bare base64-kodet JSON. Dette verktøyet bruker JavaScript til å dekode og vise dem i nettleseren din. Ingen serverkommunikasjon er nødvendig.
Relaterte verktøy
Autoritative referanser
Primærkildene bak dette verktøyet — offisielle standarder og spesifikasjoner, ikke andrehånds sammendrag.
RFC 7519 - JSON Web Token (JWT)
IETF-standarden som definerer JSON Web Token-strukturen: header, payload, signature.
RFC 7515 - JSON Web Signature (JWS)
Tilholdsstandarden for JSON Web Signature — hvordan JWT-signaturer lages og verifiseres.
Introduction to JSON Web Tokens - jwt.io
Den offisielle introduksjonen til JSON Web Tokens med interaktiv feilsøking, vedlikeholdt av Auth0.
JSON Web Token - Wikipedia
Tokenstruktur, vanlige claims (iss, sub, exp), og hvordan JWT-er brukes til autentisering.