JWT-Decoder

Ein JSON Web Token ist drei Base64URL-kodierte, durch Punkte verbundene Segmente: ein Header, der den Signaturalgorithmus und Tokentyp beschreibt, ein Payload, der die echten Claims enthält — wen das Token identifiziert, wann es abläuft, welche Berechtigungen es gewährt — und eine über die ersten beiden Segmente mit einem Geheimnis oder privaten Schlüssel berechnete Signatur. Dekodieren, was dieses Tool tut, bedeutet, die ersten zwei Segmente Base64URL-zu-lesbarem-JSON zu dekodieren; es sagt nichts über das dritte Segment aus, außer seinen rohen kodierten Wert offenzulegen, da das Verifizieren dieser Signatur das echte Signaturgeheimnis erfordert, um das ein browserbasiertes Tool Sie nie bitten sollte.

Diese Unterscheidung — Dekodieren versus Verifizieren — ist das Wichtigste, was es über ein JWT-Debugging-Tool zu verstehen gibt. Dekodieren sagt Ihnen, was ein Token *behauptet*; Verifizieren sagt Ihnen, ob diesen Behauptungen *vertraut* werden kann, indem bestätigt wird, dass die Signatur vom erwarteten Aussteller erzeugt wurde. Ein Token kann perfekt dekodieren und einen Payload zeigen, der Administratorzugriff behauptet, während es vollständig gefälscht ist, wenn nichts die Signatur je gegen den echten Signaturschlüssel prüft.

Header und Payload sind kodiert, nicht verschlüsselt — Base64URL ist eine umkehrbare Transformation ohne jedes beteiligte Geheimnis, daher kann jeder, der ein Token erhält, sei es durch Abfangen von Netzwerkverkehr, Lesen des Browser-Speichers, oder direktes Empfangen, den Payload dekodieren und jeden darin enthaltenen Claim lesen, ohne irgendeinen Schlüssel zu benötigen. Das ist genau der Grund für den Standardrat, JWT-Payloads auf Bezeichner und nicht sensible Claims zu beschränken — eine Nutzer-ID, eine Rolle, eine Ablaufzeit — und nie ein Passwort, eine Kreditkartennummer, oder andere vertrauliche Daten direkt in das Token zu setzen, da das Tokenformat selbst keine Vertraulichkeit bietet.

Die Standard-Zeitstempel-Claims sind als Unix-Zeit gespeichert — eine einfache Ganzzahl, die Sekunden seit dem 1. Januar 1970 zählt — was für Maschinen effizient zu vergleichen, aber auf einen Blick für eine Person, die ein Token untersucht, unlesbar ist. `1735689600` von Hand in „1. Januar 2025, 00:00:00 UTC" umzurechnen ist genau die Art kleiner, fehleranfälliger Berechnung, die unter Zeitdruck leicht schiefgeht, besonders über Zeitzonen hinweg. Alle drei Claims als echte lokale Daten zu rendern und direkt zu erklären, ob das Token aktuell abgelaufen, gültig, oder noch nicht aktiv ist, verwandelt eine Debugging-Sitzung, die sonst eine zweite Berechnung erfordern würde, in eine sofortige, lesbare Antwort.