Nasıl kullanılır
- Token’ı "Bearer " önekiyle ya da öneksiz yapıştırın. Üç bölüm farklı renklerle gösterilir.
- Çözülen başlığı ve yükü okuyun. iat, nbf ve exp talepleri tarih olarak ve göreli süreyle gösterilir.
- İmzayı doğrulamak için HS256/384/512 token’larında paylaşılan gizli anahtarı girin; RS, PS, ES ve EdDSA token’larında açık anahtarı (PEM veya JWK) yapıştırın.
- Başka bir yerde kullanmanız gerekirse çözülen JSON’u kopyalayın.
Seçeneklerin açıklaması
- Başlık (header)
- Token hakkındaki meta veriler; genellikle alg (imzalama algoritması) ve typ. kid alanı, token’ı hangi anahtarın imzaladığını gösterir.
- Yük (payload)
- Talepler (claims). Kayıtlı talepler arasında sub (konu), iss (yayımlayan), aud (hedef kitle), iat (oluşturulma), nbf (geçerlilik başlangıcı) ve exp (sona erme) bulunur; tüm zamanlar Unix saniyesi cinsindendir.
- İmza
- Başlığın ve yükün değiştirilmediğini kanıtlar. Kontrol etmek için gizli anahtar (HMAC) veya yayımlayanın açık anahtarı (RSA, ECDSA, EdDSA) gerekir.
- Gizli anahtar Base64 kodlu
- Bazı servisler HMAC gizli anahtarlarını Base64 kodlu saklar. Elinizdeki gizli anahtar kodlanmış biçimdeyse bu kutuyu işaretleyin.
Sık kullanılan talepler
| Talep | Anlamı | Örnek |
|---|---|---|
sub |
Token’ın kimin hakkında olduğu (kullanıcı kimliği) | "1234567890" |
iss |
Token’ı kimin yayımladığı | "https://accounts.example.com" |
aud |
Token’ın kimin için olduğu | "my-api" |
exp |
Sona erme zamanı, Unix saniyesi | 1790427600 |
iat |
Oluşturulma zamanı, Unix saniyesi | 1790424000 |
nbf |
Bu zamandan önce geçersiz, Unix saniyesi | 1790424000 |
jti |
Tekrar kullanımı (replay) önlemek için benzersiz token kimliği | "a1b2c3" |
Örnek
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c token’ı, {"alg":"HS256","typ":"JWT"} başlığına ve sub, name ile iat (18 Ocak 2018) içeren bir yüke çözülür. your-256-bit-secret gizli anahtarıyla imza doğrulanır.
Sıkça sorulan sorular
Üretimdeki bir JWT’yi buraya yapıştırmak güvenli mi?
Token tarayıcınızda JavaScript ile çözülür; yüklenmez veya kaydedilmez. Yine de erişim token’larına parola gibi davranın — geçerli bir token’a sahip olan herkes, süresi dolana kadar onu kullanabilir.
Bir JWT’yi çözmek onun gerçek olduğunu kanıtlar mı?
Hayır. Başlık ve yük yalnızca Base64URL ile kodlanmıştır; herkes bunları okuyabilir veya sahtesini üretebilir. Token’ın beklenen tarafça verildiğini yalnızca doğru anahtarla başarılı bir imza kontrolü gösterir.
Doğru gizli anahtarla doğrulama neden başarısız oluyor?
Gizli anahtarın Base64 kodlu olup olmadığını, sonunda boşluk veya satır sonu bulunup bulunmadığını ve başlıktaki algoritmanın yayımlayanın kullandığıyla eşleşip eşleşmediğini kontrol edin. Token’daki tek bir karakterlik değişiklik bile imzayı bozar.
"alg none" ne anlama gelir?
Token imzasız olduğunu beyan eder. Sunucular, açıkça beklemedikleri sürece bu tür token’ları reddetmelidir; bunları kabul etmek gerçek hayatta kimlik doğrulamanın atlatılmasına yol açmıştır.
RS256 token’ları için açık anahtarı nereden bulurum?
Kimlik sağlayıcılar anahtarlarını JWKS olarak, genellikle /.well-known/jwks.json adresinde yayımlar. kid değeri token başlığındakiyle eşleşen anahtarı kopyalayıp buraya JWK olarak yapıştırın.
Gizlilik
Bu araç tamamen tarayıcınızda çalışır. Dosyalarınız ve metinleriniz cihazınızda işlenir, sunucularımıza asla yüklenmez.