JWT декодировщик

JWT декодировщик — возможности

• 01

  Header, payload и claims с первого взгляда

  Декодировщик разбивает JWT на три сегмента, красиво форматирует header и payload как JSON и показывает стандартные claims — алгоритм, subject, issuer, audience, issued-at, expiry — в компактной сводке над сырым выводом.

• 02

  Проверки истечения и timing

  Claim exp переводится в ISO timestamp и помечается как valid или expired относительно текущего времени. То же для nbf (not-before) и iat (issued-at). Больше никаких ручных конверсий Unix-в-Date.

• 03

  Только декодировщик — никогда не загружается

  Токены декодируются в браузере через нативный atob. Ничего не отправляется на сервер. Безопасно вставлять продакшн JWT, API-токены или session-куки при отладке.

JWT декодировщик — частые вопросы

Что такое JWT?

JSON Web Token — компактный, URL-safe формат токена из трёх Base64URL-кодированных сегментов, разделённых точками: header (алгоритм и тип), payload (claims) и подпись. JWT широко используются для аутентификации, авторизации и краткосрочного API-доступа.

Проверяет ли этот декодировщик подпись?

Нет. Декодировщик только парсит header и payload, чтобы показать содержимое. Проверка подписи требует секрета issuer или публичного ключа, которые должны оставаться на вашем сервере — никогда не вставляйте их в веб-инструмент. Проверяйте подписи на серверной стороне.

Безопасно ли вставлять реальный JWT сюда?

Декодирование полностью происходит в браузере — токен не передаётся. Однако JWT не зашифрованы (любой с токеном может прочитать claims), поэтому относитесь к ним как к паролям: не делитесь, не коммитьте и ротируйте при утечке.

Почему подпись показана, но не проверена?

Подпись отображается, чтобы вы могли сравнить её с тем, что производит ваш сервер при отладке. Реальная проверка требует ключа подписи (HMAC-секрет или RSA/EC публичный ключ), к которому декодировщик не имеет доступа и не должен иметь.

Что означает "exp"?

exp — claim истечения, Unix timestamp, после которого токен должен быть отклонён. Декодировщик переводит его в ISO timestamp и показывает зелёный тег, если ещё в будущем, или красный, если токен уже истёк.