JWT-Token dekodieren und Signatur prüfen

Wofür eignet sich der JWT-Decoder?

Ein JWT-Token besteht aus drei durch Punkte getrennten Teilen. Dieses Werkzeug liest den Header und die Nutzdaten aus, sofern beide Teile als Base64url kodiert sind und gültiges UTF-8-JSON enthalten. Zusätzlich wird der dritte Teil als Signaturdaten dekodiert. So lassen sich beispielsweise Algorithmus, Token-Typ sowie ausgewählte Angaben zu Aussteller, Betreff, Zielgruppe und Zeitwerten prüfen.

Das Dekodieren zeigt den Inhalt eines Tokens, bestätigt aber nicht dessen Herkunft oder Unverändertheit. Eine Signaturprüfung ist eine separate, optionale Funktion und standardmäßig deaktiviert.

Schritt-für-Schritt-Anleitung

1. Öffnen Sie den JWT-Decoder und fügen Sie das Token als Text in das Eingabefeld ein. Verwenden Sie dabei das vollständige Token ohne zusätzliche Zeilen oder Erläuterungen.

2. Starten Sie die Auswertung. Das Token muss genau drei durch Punkte getrennte Segmente enthalten. Der Decoder verarbeitet die ersten beiden Segmente als Base64url-Daten, wandelt sie in UTF-8 um und liest sie als JSON. Der dritte Teil wird als Signaturdaten dekodiert; sein ursprünglicher Text bleibt ebenfalls verfügbar.

3. Lesen Sie Header und Payload in der Ergebnisansicht. Falls die dekodierten Werte Objekte sind, können dort unter anderem Algorithmus, Token-Typ, Aussteller, Betreff, Zielgruppe und standardisierte Zeitangaben erscheinen.

4. Aktivieren Sie die Signaturprüfung nur für eine zusätzliche Prüfung und geben Sie das dafür vorgesehene Geheimnis ein. Mit einem bereitgestellten Geheimnis versucht das Werkzeug, die Signatur anhand des im Header angegebenen Algorithmus zu prüfen. Ohne Geheimnis wird die angeforderte Prüfung übersprungen und als Problem vermerkt. Bewahren Sie ein Geheimnis nicht zusammen mit dem Token oder seinen Ausgabedaten auf.

Ergebnisse richtig einordnen

Ein erfolgreich dekodierter Header und eine erfolgreich dekodierte Payload bedeuten zunächst nur, dass die beiden Inhalte gelesen werden konnten. Erst eine angeforderte Prüfung mit dem passenden Geheimnis liefert ein Ergebnis zur Signatur, etwa eine gültige oder ungültige Signatur. Das Auslesen allein ist kein Nachweis für Authentizität, Integrität oder die Gültigkeit des Tokens.

Meldet das Ergebnis Probleme, prüfen Sie zuerst die Form des Eingabetokens und danach die einzelnen Segmente. Fehler bei Base64url, UTF-8 oder JSON in den ersten beiden Teilen führen zu einem nicht erfolgreichen Gesamtergebnis. Ein ungültiger, nicht leerer dritter Teil wird ebenfalls als Problem gemeldet; ein leerer dritter Teil erzeugt dabei keinen eigenen Signaturfehler. Ein leeres oder nur aus Leerzeichen bestehendes Eingabefeld ist ebenfalls nicht erfolgreich.

Praktisches Beispiel

Ein Entwickler möchte vor einer Fehlersuche die im Token enthaltene Zielgruppe und den Aussteller ansehen und anschließend die Signatur mit dem verfügbaren Geheimnis prüfen.

Fügen Sie das vollständige Token ein, starten Sie die Auswertung und lesen Sie danach Header, Payload und Signaturdaten getrennt. Fordern Sie die Signaturprüfung nur mit dem dafür vorgesehenen Geheimnis an.

Das Ergebnis enthält einen ausgelesenen Header, eine ausgelesene Payload und dekodierte Signaturdaten. Bei angeforderter Prüfung erscheint zusätzlich ein Signaturergebnis oder ein Hinweis, dass die Prüfung ohne Geheimnis übersprungen wurde.

Einschränkungen

• Das Dekodieren bestätigt weder die Echtheit noch die Unverändertheit eines Tokens. Eine Signaturprüfung ist optional, und ohne Geheimnis wird sie nicht durchgeführt.

Häufige Fehler

• Ein häufiger Fehler ist ein abgeschnittenes Token oder zusätzlicher Text im Eingabefeld. Verwenden Sie ein nicht leeres Token mit genau drei Punkt-Trennungen und entfernen Sie Begleittext.

Häufige Fragen

Welche Form muss ein JWT-Token haben?

Nur wenn das Token genau drei durch Punkte getrennte Segmente enthält und die ersten beiden Teile gültiges Base64url- und UTF-8-JSON ergeben. Andere Segmentzahlen führen zu einem nicht erfolgreichen Ergebnis.

Brauche ich für das Auslesen eines Tokens ein Geheimnis?

Das Dekodieren funktioniert ohne Geheimnis. Für eine angeforderte Signaturprüfung ohne bereitgestelltes Geheimnis wird die Prüfung übersprungen und ein Problem vermerkt.

Beweist das Dekodieren, dass ein JWT gültig ist?

Nein. Lesbare Header- und Payload-Daten zeigen nur, dass diese Inhalte dekodiert werden konnten. Eine Aussage zur Signatur entsteht erst durch die separate Prüfung mit einem bereitgestellten Geheimnis.

Was passiert mit den drei Token-Teilen?

Die ersten beiden Segmente werden als Base64url dekodiert, als UTF-8 interpretiert und als JSON gelesen. Der dritte Teil wird als Signaturdaten dekodiert; sein ursprünglicher Text wird zusätzlich behalten.