JWT-dekoder

Referanse

JSON Web Tokens (JWT)

En JWT (JSON Web Token) er et kompakt, URL-sikkert tokenformat definert i RFC 7519. Det består av tre base64url-kodede deler atskilt med punktum: header.payload.signatur. JWT-er brukes mye for autentisering og informasjonsutveksling mellom parter.

Struktur

Header — et JSON-objekt som inneholder tokentypen (typ) og signeringsalgoritmen (alg), f.eks. HS256 eller RS256. Payload — et JSON-objekt som inneholder krav: registrerte krav som iss (utsteder), sub (emne), exp (utløpstid), iat (utstedt på); og egendefinerte applikasjonskrav. Signatur — resultatet av å signere den kodede headeren og payloaden med en hemmelighet eller privat nøkkel. Den sikrer at tokenet ikke har blitt tuklet med.

⚠ Sikkerhetsnotat

Dekoding er ikke det samme som verifisering. Dette verktøyet dekoder tokenet og viser innholdet, men verifiserer ikke signaturen. Hvem som helst kan opprette en JWT med vilkårlige krav. Stol aldri på JWT-krav uten å verifisere signaturen på serversiden med riktig hemmelighet eller offentlig nøkkel. Bruk et bibliotek som jsonwebtoken (Node.js) eller PyJWT (Python) i produksjon.

Vanlige JWT-krav

Registrerte krav er definert av RFC 7519 §4.1: iss (utsteder), sub (emne), aud (publikum), exp (utløpstid), nbf (ikke før), iat (utstedt) og jti (JWT-ID). Offentlige krav er registrert i IANA JWT Claims-registeret for å unngå kollisjoner. Private krav er tilpassede nøkkel-verdi-par som er avtalt mellom partene — f.eks. role, org_id eller permissions.

Personvern

All dekoding kjører 100% i nettleseren din. Ingen data sendes til en server.