JWT-decoder: waar dit voor dient
Een JSON Web Token bestaat uit drie Base64url-segmenten gescheiden door punten: een header met het algoritme, een payload met claims en een handtekening. Problemen met authenticatie oplossen komt meestal neer op de payload lezen, en deze tool decodeert die volledig in je browser, met verval- en uitgiftedatums als leesbare data.
JWT-decoder: hoe het werkt
- Plak het JWT in het invoerveld.
- Lees de gedecodeerde header en payload naast elkaar.
- Bekijk de claims exp en iat, die als leesbare datums worden getoond.
- Let op het algoritme in de header: deze tool verifieert geen handtekeningen.
Veelgestelde vragen
Verifieert dit de handtekening van het token?
Nee. Verifiëren vereist het geheim of de publieke sleutel, die nooit in een webpagina geplakt zouden moeten worden. Decoderen toont wat het token beweert; alleen je server moet beslissen of het te vertrouwen is.
Is het veilig om hier een token te plakken?
Het decoderen gebeurt volledig in je browser, zonder netwerkverzoek. Toch is een geldig accesstoken een inlogmiddel: gebruik uit gewoonte verlopen of testtokens.
Wat betekenen de standaardclaims?
iss is de uitgever, sub het onderwerp of de gebruikers-id, aud het beoogde publiek, exp de vervaldatum, iat de uitgiftedatum en nbf het moment waarvoor het token niet geldig is. Alle tijden staan in Unix-seconden.
Wat is de "alg: none"-kwetsbaarheid?
Een historisch lek waarbij een server tokens accepteerde die claimden geen algoritme te gebruiken, waardoor iedereen er een kon vervalsen. Leg het verwachte algoritme altijd vast aan de serverkant in plaats van op de header te vertrouwen.