JWT Decoder: Header, Payload und Ablaufdatum lesen

Fügen Sie ein JWT ein und sehen Sie Header und Payload als JSON, die Daten iat und exp und ob es abgelaufen ist.

JWT dekodieren: Header, Claims und Ablauf, ohne Signaturprüfung

Ein JWT (RFC 7519) besteht aus drei Base64URL-kodierten, durch Punkte getrennten Segmenten: Header, Payload und Signatur. Das Tool dekodiert die ersten beiden zu JSON, rechnet iat und exp in Datumsangaben um und zeigt an, ob das Token abgelaufen ist; die Signatur prüft es nicht, dafür braucht es den geheimen oder öffentlichen Schlüssel auf dem Server.

Was der Decoder macht

  1. Er trennt das Token an den Punkten und verlangt genau 3 Segmente; ein verschlüsseltes JWE mit 5 Segmenten wird abgelehnt.
  2. Er wandelt - und _ in + und / zurück, füllt mit = auf und dekodiert als UTF-8.
  3. Er parst Header und Payload mit JSON.parse und zeigt Algorithmus (alg) und Typ (typ).
  4. Er rechnet iat und exp (Sekunden seit dem 1. Januar 1970) in lokale Zeit um und vergleicht exp mit der Uhr Ihres Geräts.

Beispiel mit dem Beispieltoken

Der Header nennt alg HS256 und typ JWT. Der Payload enthält sub, name (Jean Dupont), admin, iss und zwei Zeitstempel: iat = 1516239022, also 18. Januar 2018, 01:30 UTC, und exp = 1781623922, also 16. Juni 2026, 15:32 UTC. Am 14. Oktober 2026 aufgerufen, ist das Token seit rund 120 Tagen abgelaufen. Die Signatur wird unverändert und ungeprüft angezeigt.

Sicherheitsgrenzen

  • Ein manipuliertes oder gefälschtes Token wird genauso dekodiert wie ein echtes: Erfolgreiches Dekodieren beweist nichts über die Echtheit.
  • Ein unsigniertes Token (alg none, leeres drittes Segment) wird ohne Warnung dekodiert.
  • Die Claims nbf, aud und iss werden nicht geprüft; nur exp erhält einen Status.
  • Der Ablaufstatus hängt von der Uhr Ihres Geräts ab.
  • Der Payload ist kodiert, nicht verschlüsselt: Passwörter oder sensible Daten gehören nicht hinein.

Das Dekodieren läuft im Browser, das Token wird nicht übertragen.

Häufig gestellte Fragen

Prüft der JWT-Decoder die Signatur des Tokens?

Nein. Er dekodiert Header und Payload und zeigt die Signatur roh an, ohne sie zu prüfen. Für HS256 braucht es den geheimen Schlüssel, für RS256 oder ES256 den öffentlichen: Prüfen Sie serverseitig mit einer JWT-Bibliothek.

Woran erkenne ich, ob ein JWT abgelaufen ist?

Der Claim exp enthält einen Zeitpunkt in Sekunden seit dem 1. Januar 1970. Das Beispieltoken hat exp = 1781623922, also 16. Juni 2026, 15:32 UTC: Das Tool markiert es als abgelaufen, sobald die Uhr Ihres Geräts diesen Zeitpunkt überschreitet, und zeigt die Differenz in Tagen, Stunden und Minuten.

Kann man ein JWT ohne Schlüssel lesen?

Ja, ein signiertes JWT (JWS) ist nur Base64URL-kodiert, jeder kann die Claims lesen. Die Signatur verhindert lediglich unbemerkte Änderungen. Ein JWE mit 5 Segmenten ist verschlüsselt und wird vom Tool abgelehnt.

Warum meldet das Tool ein ungültiges JWT-Format?

Das Token muss genau drei durch Punkte getrennte Segmente haben. Eine abgeschnittene Kopie, Leerzeichen, das Präfix Bearer oder ein verschlüsseltes Token mit 5 Segmenten lösen die Meldung aus; ein Segment, das kein Base64URL-kodiertes JSON ist, führt zu einem Dekodierfehler.

Ist das Tool wirklich kostenlos?

Ja, alle Werkzeuge auf Kristools sind zu 100% kostenlos und ohne Registrierung zugänglich.

Sind meine Daten geschützt?

Ja. Die gesamte Verarbeitung erfolgt sicher und direkt in Ihrem Browser. Es werden keine persönlichen Daten an unsere Server gesendet.