JWT-decoder

JWT is vastgelegd in RFC 7519 (mei 2015), die voorstelt het uit te spreken als het Engelse woord "jot". De gangbare ondertekende vorm bestaat uit drie Base64url-strings die met punten aan elkaar zijn gekoppeld: header.payload.signature. De header noemt in alg het ondertekeningsalgoritme, zoals HS256 of RS256, en vaak in kid een sleutel-ID. De payload bevat claims, JSON-velden zoals sub (de gebruiker), iss (de uitgever), aud (de beoogde doelgroep) en exp, nbf en iat, tijden in seconden sinds 1 januari 1970 UTC. De decoder zet deze drie om naar uw lokale tijd en ISO 8601, en laat zien of het token is verlopen, nog niet geldig is of binnen de geldigheidsperiode valt.

Base64url is een codering, geen versleuteling. Iedereen die een token heeft, kan de payload lezen, precies zoals deze pagina dat doet. Zet daarom nooit wachtwoorden, kaartnummers of andere geheimen in claims. Een token met vijf door punten gescheiden delen is een JWE, een versleuteld token. De inhoud is zonder de sleutel niet te lezen en de decoder meldt dat. Een voorafgaand "Bearer " uit een Authorization-header wordt automatisch verwijderd.

De handtekening bewijst dat de header en payload zijn gemaakt door iemand met de sleutel en sindsdien niet zijn gewijzigd. Om dat te controleren hebt u die sleutel nodig: het gedeelde geheim bij HMAC-algoritmen zoals HS256, of de publieke sleutel van de uitgever bij RS256, ES256 of EdDSA. Een productiegeheim in een webpagina plakken is geen goed idee, en een decoder die zonder sleutel doet alsof een token betrouwbaar is, zou schijnzekerheid geven. Deze tool toont daarom de handtekening, maar controleert die niet. Beschouw wat u ziet als een bewering van het token, niet als een feit.

Verificatie hoort op uw server thuis, met een onderhouden bibliotheek waarin het verwachte algoritme vastligt. Twee historische fouten laten zien waarom: het accepteren van alg "none", waarmee iedereen een niet-ondertekend token kan vervalsen, en algoritmeverwarring, waarbij een server die RS256 verwacht ertoe wordt gebracht een HS256-handtekening te controleren met de publieke sleutel als HMAC-geheim. Een decoder is bedoeld voor debuggen: zien welke claims een provider uitgeeft, een verkeerde audience opsporen of ontdekken dat een sessie mislukte omdat exp een minuut geleden verliep. Wilt u de Base64url-segmenten onbewerkt lezen, gebruik dan de Base64-decoder.