JWT декодер онлайн

JWT декодер показывает, что лежит внутри токена: заголовок, данные и даты выпуска и окончания в вашем часовом поясе. Если знаете секретный ключ, тут же проверите подпись HS256, HS384 или HS512. Всё считается в браузере, токен и ключ не уходят на сервер.

Собрать в конструкторе

Загрузка инструмента...

Как настроить

  1. 1

    Вставьте токен

    Скопируйте JWT из заголовка Authorization, cookie или ответа API и вставьте в поле. Приписку Bearer и переносы строк убирать не нужно, декодер сделает это сам.

  2. 2

    Посмотрите заголовок и данные

    В заголовке видно алгоритм подписи (alg) и тип токена. В данных (payload) лежат id пользователя, роль и другие поля, которые положил сервер. Русские буквы показываются как есть.

  3. 3

    Проверьте срок действия

    Поля iat, nbf и exp хранят время в секундах с 1970 года. Декодер переводит их в обычные даты в вашем часовом поясе и пишет, действует токен или уже истёк.

  4. 4

    Проверьте подпись

    Для токенов HS256, HS384 и HS512 введите секретный ключ: декодер пересчитает подпись и скажет, совпадает ли она. Для RS256 и ES256 нужен открытый ключ, такие подписи здесь не проверяются.

Частые вопросы

Токен и ключ обрабатываются только в вашем браузере, страница ничего не отправляет на сервер. Но помните: данные любого JWT может прочитать каждый, у кого есть токен. Подпись защищает от подделки, а не от чтения, поэтому пароли в токен не кладут.

Данные JWT не зашифрованы, а только закодированы в base64url, поэтому прочитать их можно без ключа. Проверка подписи отвечает на другой вопрос: выпустил ли токен тот, у кого есть секрет, и не меняли ли его после этого.

В поле exp записан момент, когда токен перестаёт действовать. Если это время прошло, сервер откажет в доступе с таким токеном. Нужно войти заново и получить новый токен или обновить его через refresh-токен, если сервис так умеет.

HS256, HS384 и HS512: они подписывают токен общим секретным ключом. Для RS256, ES256 и других алгоритмов с открытым ключом декодер покажет содержимое токена, но подпись проверить не предложит.

В конструкторе nana800 есть блок SIGN JWT: он выпускает токен с полями sub, iss, aud, сроком жизни и вашими данными. Блок VALIDATE JWT проверяет подпись и срок полученного токена. Оба работают с алгоритмом HS512, поэтому такие токены можно разобрать и проверить на этой странице. Есть готовый шаблон, где одна цепочка выдаёт токен по запросу на вебхук, а вторая его проверяет.

Соберите первую схему бесплатно

Регистрация бесплатная, карта не нужна. Каждый месяц баланс бесплатно пополняется до 350 ₽, этого хватает примерно на 3 500 запусков простых блоков.

Собрать в конструкторе