Decodare JWT
Vezi ce conține un token JWT: algoritmul, datele din el și când expiră. Semnătura n-o verificăm aici, pentru asta e nevoie de cheie.
Ce vezi
Un JWT are trei părți despărțite de puncte, fiecare în Base64url: header-ul (algoritmul semnăturii, în alg), payload-ul (datele, numite „claims”) și semnătura. Primele două sunt doar codificate, nu criptate, deci le poate citi oricine are tokenul; aici le vezi formatate.
Datele cu rol de timp din RFC 7519 (iat emis, nbf valabil de la, exp expiră) sunt secunde de la 1 ianuarie 1970; le arătăm ca dată, în fusul tău orar, cu cât timp a trecut sau a mai rămas.
Semnătura
Decodarea nu spune dacă tokenul e autentic: oricine poate scrie un payload. Semnătura se verifică doar cu cheia (secretul HMAC sau cheia publică), în generare și verificare JWT. Un token cu alg none, fără semnătură, nu trebuie acceptat ca valid decât dacă aplicația cere explicit asta (RFC 7518, §3.6).
Tokenul rămâne la tine
Decodarea se face în browserul tău: tokenul nu e trimis nicăieri. Un token valid e totuși o cheie de acces; nu-l lipi în site-uri în care nu ai încredere.
Întrebări frecvente
Pot schimba payload-ul aici?
Poți genera un token nou în generare și verificare JWT, cu cheia ta. Un payload schimbat fără cheie nu mai trece de verificarea semnăturii.
Ce e un token cu cinci părți?
Un JWE, un token criptat: payload-ul nu poate fi citit fără cheia de decriptare.