Jak używać
- Wklej token z prefiksem Bearer lub bez niego. Trzy części zostaną oznaczone kolorami.
- Odczytaj zdekodowany nagłówek i payload. Claims iat, nbf i exp są pokazane jako daty z czasem względnym.
- Aby zweryfikować podpis, wpisz sekret dla HS256, HS384 lub HS512 albo wklej klucz publiczny PEM lub JWK dla RS, PS, ES i EdDSA.
- Skopiuj zdekodowany JSON, jeśli potrzebujesz go w innym miejscu.
Opis opcji
- Nagłówek
- Metadane tokenu, zwykle alg, czyli algorytm podpisu, oraz typ. Pole kid wskazuje klucz użyty do podpisu.
- Payload
- Claims tokenu. Zarejestrowane to między innymi sub, iss, aud, iat, nbf i exp, podane jako sekundy Unix.
- Podpis
- Potwierdza, że nagłówek i payload nie zostały zmienione. Sprawdzenie wymaga sekretu HMAC albo klucza publicznego wystawcy.
- Sekret jest w Base64
- Niektóre usługi przechowują sekret HMAC w Base64. Zaznacz tę opcję, jeśli posiadany sekret jest już zakodowany.
Typowe claims
| Claim | Znaczenie | Przykład |
|---|---|---|
sub |
Kogo dotyczy token, np. ID użytkownika | "1234567890" |
iss |
Kto go wystawił | "https://accounts.example.com" |
aud |
Dla kogo jest przeznaczony | "my-api" |
exp |
Czas wygaśnięcia w sekundach Unix | 1790427600 |
iat |
Czas wystawienia w sekundach Unix | 1790424000 |
nbf |
Nieważny przed tym czasem | 1790424000 |
jti |
Unikalny identyfikator chroniący przed powtórzeniem | "a1b2c3" |
Przykład
Token złożony z trzech części dekoduje się do nagłówka {"alg":"HS256","typ":"JWT"} i payloadu zawierającego sub, name oraz iat. Po podaniu właściwego sekretu można sprawdzić jego podpis.
Najczęściej zadawane pytania
Czy bezpiecznie wkleić produkcyjny JWT?
Token jest dekodowany w JavaScript w przeglądarce i nie jest wysyłany ani logowany. Traktuj go jednak jak hasło, bo ważny token może zostać użyty do wygaśnięcia.
Czy dekodowanie JWT dowodzi, że jest prawdziwy?
Nie. Nagłówek i payload są tylko kodowane Base64URL, więc każdy może je odczytać lub podrobić. Autentyczność potwierdza dopiero udane sprawdzenie podpisu właściwym kluczem.
Dlaczego weryfikacja nie działa z poprawnym sekretem?
Sprawdź kodowanie Base64, końcową spację lub nowy wiersz oraz zgodność algorytmu z nagłówkiem. Każda zmiana tokenu, nawet jednego znaku, łamie podpis.
Co oznacza alg none?
Token twierdzi, że jest niepodpisany. Serwery powinny go odrzucać, chyba że jawnie oczekują takiego tokenu.
Skąd wziąć klucz publiczny dla RS256?
Dostawcy tożsamości publikują klucze jako JWKS, zwykle pod /.well-known/jwks.json. Wybierz klucz z kid zgodnym z nagłówkiem.
Prywatność
To narzędzie działa w całości w przeglądarce. Twoje pliki i tekst są przetwarzane na Twoim urządzeniu i nigdy nie trafiają na nasze serwery.