Datei hinzufügen
Wähl eine .txt oder .jwt-Datei aus oder zieh sie hierher. Du kannst den Inhalt auch einfach einfügen.
JWT-Decoder: Header, Payload und Ablaufzeit eines Tokens lesen
Fügen Sie das vollständige Token ein oder wählen Sie eine .txt- oder .jwt-Datei; der Decoder trennt die drei Segmente. Header und Payload werden aus Base64url dekodiert, als striktes UTF-8 gelesen und als striktes JSON geparst und genau so angezeigt, wie sie dekodiert wurden – zum Kopieren oder als .header.json und .payload.json zum Herunterladen. alg, typ, cty, kid, jku und x5u aus dem Header erhalten eigene Zeilen. Die registrierten Claims iss, sub, aud, exp, nbf, iat und jti werden als Standard-Claims gezeigt; exp, nbf und iat jeweils als Originalzahl und als UTC-Datum, samt Hinweis, ob das Token laut Geräteuhr abgelaufen oder noch nicht gültig ist. Eine Tabelle listet alle Claims mit ihrem Rohwert, große Ganzzahlen bleiben ziffergenau. Die Signatur wird nur als Base64url geprüft und in Bytes gezählt, nie als Text dekodiert.
Dateitypen: .txt, .jwtVerarbeitung: Dieser Browser
oder Datei hier ablegen
✓ Bleibt auf diesem GerätMaximale Größe: 977 KB
JWT-Decoder: Header, Payload und Ablaufzeit eines Tokens lesen verwenden
Verarbeiten lassen
Die Datei wird in diesem Browser gelesen und ausgewertet — hochgeladen wird nichts.
Ergebnis prüfen
Sieh dir an, was dabei herauskommt, und kopier oder lade es dann herunter.
Wissen, was mit den Dateien passiert? Datenschutzhinweis lesen →
Häufige Fragen
Wie kann ich ein JWT online dekodieren und den Payload anzeigen?
Fügen Sie das ganze Token in das Eingabefeld ein oder wählen Sie eine .txt- bzw. .jwt-Datei – Header- und Payload-JSON erscheinen sofort. Leerzeichen und Zeilenumbrüche am Anfang und Ende werden ignoriert; ganz oben steht immer der Hinweis, dass die Signatur nicht geprüft wurde.
Kann ich ein JWT dekodieren, ohne das Token auf einen Server hochzuladen?
Ja, das Token wird im Browser-Tab dekodiert und von diesem Werkzeug an keinen Server übertragen. Steht im Header eine URL unter jku oder x5u, wird sie nur mit einer Warnung angezeigt; das Werkzeug baut keine Verbindung zu dieser Adresse auf.
Wie öffne ich ein JWT unter Windows 11 ohne zusätzliche Software?
Öffnen Sie diese Seite in Edge, Chrome oder Firefox unter Windows 11 und fügen Sie das Token ein; PowerShell-Skripte oder Erweiterungen sind nicht nötig. Auf dem Mac, unter Linux und auf dem Smartphone funktioniert es genauso im Browser.
Warum meldet der JWT-Decoder eine falsche Anzahl an Segmenten?
Ein signiertes JWT besteht aus genau drei Teilen, getrennt durch zwei Punkte; ein fehlender oder zusätzlicher Punkt löst den Fehler aus. Meist wurde beim Kopieren die Signatur abgeschnitten oder zwei Tokens wurden aneinandergehängt. Bei genau fünf Teilen erscheint eine eigene Meldung für JWE.
Was bedeutet der JWT-Fehler ungültiges Base64url beim Einfügen mit Bearer?
Das Wort Bearer und das Leerzeichen danach sind keine Base64url-Zeichen, daher lässt sich das erste Segment nicht dekodieren. Die Meldung nennt Zeile und Spalte des störenden Zeichens; entfernen Sie Präfix, Anführungszeichen oder Zeilenumbruch und fügen Sie nur das Token ein.
Warum zeigt der JWT-Decoder, dass der Payload kein gültiges JSON ist?
Der Payload ließ sich zwar aus Base64url dekodieren, ist aber kein striktes JSON und wird deshalb nicht als Text ausgegeben. Typische Ursachen sind einfache Anführungszeichen, ein Komma am Ende oder falsche Escapes. Ist das JSON gültig, aber ein Array, erscheint die Meldung, dass es kein Objekt ist.
Wie groß darf ein JWT sein und welche Zeichenkodierung braucht die Datei?
Bis 1.000.000 Byte werden akzeptiert, Dateien müssen UTF-8 sein, und JSON darf bis zu 64 Ebenen tief verschachtelt sein. Die Größe wird vor jeder Dekodierung geprüft. Eine als UTF-16 gespeicherte Datei wird als ungültiges UTF-8 abgelehnt; eine BOM am Dateianfang wird entfernt.
Worin unterscheiden sich JWT und JWE, und lässt sich ein verschlüsseltes JWE dekodieren?
Ein JWE lässt sich hier nicht dekodieren: Nur signierte Tokens mit drei Teilen (JWS) werden gelesen, fünfteilige JWE mit eigener Meldung abgelehnt. Beim JWS ist der Payload nur kodiert und für jeden lesbar, beim JWE verschlüsselt und nur mit dem passenden Entschlüsselungsschlüssel zugänglich.
Kann ich mit dem JWT-Decoder die Signatur prüfen und die Echtheit belegen?
Nein. Das Werkzeug prüft die Signatur nie und nimmt keinen Schlüssel an; ein sauber dekodiertes Token beweist also nichts über seine Herkunft. Jeder kann ein JWT bauen, das sich fehlerfrei dekodieren lässt – vertrauen darf nur der Server, der den Schlüssel besitzt.
Ist ein JWT mit alg none eine Sicherheitslücke?
Ja, wenn ein Server es akzeptiert: alg none erklärt das Token für unsigniert, und wer es annimmt, lässt gefälschte Identitäten zu. Der Decoder zeigt dafür unabhängig von der Groß- und Kleinschreibung eine kritische Warnung, damit Sie den Fall in Ihrer Prüflogik ausschließen.
Wie rechnet der JWT-Decoder das Ablaufdatum exp um und wie zuverlässig ist die Ablaufprüfung?
exp, iat und nbf werden als Sekunden seit 1970 gelesen und als UTC-Datum neben der Originalzahl gezeigt; abgelaufen heißt: laut Ihrer Geräteuhr. Geht die Uhr falsch, stimmt das Ergebnis nicht. Fehlt exp, wird das gemeldet und das Token nicht als unbegrenzt gültig behandelt.
Sind jku- oder x5u-Einträge im JWT-Header gefährlich?
Sie verdienen Misstrauen: Der Decoder markiert jku und x5u als Verweis auf entfernte Schlüssel und ruft sie nie ab. Holt ein Server den Prüfschlüssel von der URL, die das Token selbst angibt, kann ein Angreifer dort seinen eigenen Schlüssel hinterlegen.