JWT-parser
Decodeer en verifieer JSON Web Tokens (JWT) direct. Alle verwerking gebeurt in uw browser voor maximale veiligheid en privacy.
Header
Payload
Signature
Verificatie draait lokaal met de WebCrypto API. De sleutel verlaat deze pagina nooit.
Ongeldige tokenstructuur
Hoe de JWT-parser te gebruiken
Plak uw token
Kopieer en plak uw JWT in het invoerveld hierboven
Direct decoderen
De token wordt automatisch gedecodeerd om header, payload en signature te tonen
Analyseren
Bekijk de gedecodeerde informatie en controleer de geldigheid van de token
Wat is een JWT?
JSON Web Token (JWT) is een open standaard (RFC 7519) die een compacte en zelfstandige manier definieert om informatie veilig tussen partijen uit te wisselen als JSON-object.
JWT-structuur
Een JWT bestaat uit drie delen gescheiden door punten:
Header
Bevat metadata over de token, zoals de algoritme voor ondertekening
Payload
Bevat claims (verklaringen) over een entiteit en aanvullende metadata
Signature
Wordt gebruikt om te verifiëren dat de afzender van de JWT is wie hij zegt te zijn, en om te zorgen dat het bericht niet is gewijzigd
Veelgestelde vragen
Ja, met deze tool. Alle verwerking gebeurt 100% in uw browser. Uw tokens worden nooit naar een server gestuurd. Wees wel voorzichtig met andere online tools die uw tokens naar hun servers kunnen sturen.
Voor HMAC-gebaseerde tokens (HS256 enz.) kunt u de signature verifiëren als u de geheime sleutel heeft. Voor RSA-gebaseerde tokens (RS256 enz.) heeft u de publieke sleutel nodig. Deze verificatie gebeurt overigens aan de clientzijde voor uw gemak.
Een JWT is verlopen wanneer de huidige tijd de "exp"-claim (verval) in de payload passeert. Deze tool toont of een token verlopen, actief of nog niet geldig is op basis van deze tijdclaims.
U kunt de payload wijzigen, maar de signature is dan niet langer geldig tenzij u de ondertekeningssleutel heeft. Dit is het beveiligingsmechanisme van JWT's - elke wijziging maakt de signature ongeldig.
"exp" (verval) geeft aan wanneer de token ongeldig wordt, terwijl "nbf" (niet vóór) aangeeft wanneer de token geldig wordt. U kunt bijvoorbeeld "nbf" instellen om een token te maken die pas in de toekomst geldig wordt.
Nee! De JWT-payload is base64-gecodeerd, niet versleuteld. Iedereen kan de inhoud decoderen en lezen. Neem nooit wachtwoorden, API-sleutels of andere gevoelige informatie op in een JWT.
Gebruik voor productietoepassingen asymmetrische algoritmen zoals RS256 of ES256. Vermijd het algoritme "none" omdat het geen enkele beveiliging biedt. HS256 kan, maar vereist zorgvuldig beheer van geheimen.
JWT is ontworpen om zonder speciale tools te kunnen worden gedecodeerd. De header en payload zijn simpelweg base64-gecodeerde JSON. Deze tool gebruikt JavaScript om ze te decoderen en in uw browser te tonen. Er is geen servercommunicatie nodig.
Gerelateerde tools
Certificaat-dekoder
Decodeer X.509 SSL/TLS-certificaten in PEM-formaat
SAML-dekoder
Decodeer SAML-assertions uit Base64-gecodeerde XML
Base64 URL-dekoder & parser
Decodeer en encodeer Base64, parseer URL-gecodeerde strings, bekijk Base64-afbeeldingen vooraf en decodeer JWT-header- of payload-segmenten
Autoritatieve referenties
De primaire bronnen achter deze tool — officiële standaarden en specificaties, geen tweedehands samenvattingen.
RFC 7519 - JSON Web Token (JWT)
De IETF-standaard die de JSON Web Token-structuur definieert: header, payload, signature.
RFC 7515 - JSON Web Signature (JWS)
De begeleidende standaard over JSON Web Signature — hoe JWT-handtekeningen worden gemaakt en geverifieerd.
Introduction to JSON Web Tokens - jwt.io
De officiële introductie tot JSON Web Tokens met interactieve debugging, onderhouden door Auth0.
JSON Web Token - Wikipedia
Tokenstructuur, veelvoorkomende claims (iss, sub, exp), en hoe JWT's voor authenticatie worden gebruikt.