JWT-Inspektor

Ein dreiteiliges signiertes JWT (kompaktes JWS) dekodieren. Header und Payload stehen nebeneinander; Zahlen- und Stringtokens behalten ihre ursprüngliche Schreibweise. Dekodieren prüft keine Signatur. Das Beispiel enthält ausschließlich öffentliche Demonstrationsdaten.

Unter Signatur den unabhängig erwarteten Algorithmus wählen und den Schlüssel eingeben. HS256/384/512 akzeptieren exakten UTF-8-Text (Leerzeichen zählen), ungepaddetes Base64url oder hexadezimale Bytepaare. RS256/384/512, PS256/384/512 und ES256/384/512 benötigen einen SPKI-Public-Key als BEGIN PUBLIC KEY-PEM, kein Zertifikat oder Private Key. RSA mindestens 2048 Bit; ECDSA-Signaturen im JWT-Rohformat R||S. Die Stärke des HMAC-Geheimnisses wird nicht bewertet.

Eine Übereinstimmung betrifft ausschließlich die Signatur und den gewählten Schlüssel. Vertrauen zum Aussteller, Empfänger, erforderliche Claims, Widerruf und Anwendungsregeln werden nicht geprüft. Unsignierte Tokens, abweichende Algorithmen und kritische JOSE-Erweiterungen können hier keine erfolgreiche Prüfung erhalten. Schlüssel-URLs oder eingebettete Schlüssel werden weder geladen noch verwendet.

Zeitangaben werden getrennt betrachtet: exp ist bei Gleichheit abgelaufen, nbf bei Gleichheit aktiv; zukünftiges iat wird ausdrücklich angezeigt. Nichtnumerische und außerhalb des Datumsbereichs liegende Werte werden markiert. Ein leeres Bezugsfeld erfasst die aktuelle Zeit beim Dekodieren oder mit Jetzt; es tickt nicht automatisch weiter. Eingabezeit lokal, Ausgabe UTC. NumericDate-Rechnung mit JavaScript-Zahlen und Millisekundendaten.

Grenzen: 262.144 Tokenzeichen, 65.536 dekodierte Bytes je JSON-Teil, 65.536 Schlüsselzeichen. Striktes ungepaddetes kanonisches Base64url, gültiges UTF-8 und JSON-Objekte; doppelte Namen werden abgelehnt, Schachteltiefe höchstens 128. Fünf Sekunden und Abbrechen verwerfen Prüfergebnisse; Web-Crypto-Operationen selbst sind nicht abbrechbar. Tokenänderungen entfernen dekodierte Ausgaben; Schlüssel-/Algorithmusänderungen entfernen Signaturergebnisse. Keine verschlüsselten JWE, abgetrennten oder unkodierten Payloads.

Dieses Tool speichert Token oder Schlüssel weder in Cookies noch im Browserspeicher und lädt sie nicht hoch. Der Tokentext bleibt beim Toolwechsel im Seitenspeicher; das Schlüsselfeld wird beim Verlassen geleert. Referenzen: JWT, JWS und JWT Best Practices.