JWT-tokens Decoderen en Claims Veilig Inspecteren
Snel antwoord
Om een JWT te decoderen: plak het token in de JWT Decoder en de header en payload verschijnen direct als geformatteerde JSON. De tool decodeert de Base64URL-onderdelen lokaal —je token verlaat nooit je browser. Onthoud: decoderen toont alleen inhoud; het verifieert niet de signature.
Invoering
Een JWT (JSON Web Token) is een compact, URL-safe token-formaat gebruikt voor authenticatie en informatie-uitwisseling. Een JWT heeft drie delen gescheiden door punten: header.payload.signature. De header specificeert het algoritme, de payload bevat claims (user ID, roles, expiration) en de signature bewijst dat het token niet is gemanipuleerd. Decoderen laat je de inhoud inspecteren voor debugging —maar decoderen verifieert niet de authenticiteit.
Stap voor stap
-
Open de JWT Decodertool
Ga naar de JWT Decoder-toolpagina. De tool accepteert elke JWT-tekenreeks (drie Base64URL-gecodeerde delen, gescheiden door punten).
-
Plak uw JWT-token
Plak JWT in het invoerveld. Een typische JWT ziet er als volgt uit: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyMSJ9.signature. De tool detecteert automatisch de drie onderdelen.
-
Bekijk de gedecodeerde header
De tool Base64URL decodeert het eerste deel en geeft het weer als JSON. De header bevat doorgaans 'alg' (algoritme, bijvoorbeeld HS256) en 'typ' (type, meestal 'JWT').
-
Bekijk de gedecodeerde payload (claims)
De tool decodeert het tweede deel en geeft de claims weer in de indeling JSON. Veel voorkomende claims zijn 'sub' (onderwerp/gebruikers-ID), 'iat' (uitgegeven op), 'exp' (vervaldatum) en 'role' (gebruikersrol).
-
Controleer de handtekening (derde deel)
De tool toont het handtekeninggedeelte. Let op: bij het decoderen wordt de handtekening NIET geverifieerd. Om te verifiëren heeft u de ondertekeningssleutel en een verificatiebibliotheek nodig. Vertrouw nooit de beweringen van JWT zonder de handtekening op de server te verifiëren.
Voorbeelden
Decodeer een eenvoudige JWT
Invoer: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyMSIsIm5hbWUiOiJBbGljZSIsImlhdCI6MTY5MzUyNjQwMH0.signature
Uitvoer: Header: {"alg":"HS256","typ":"JWT"}
Payload: {"sub":"user1","name":"Alice","iat":1693526400}
JWT met vervalclaim
Invoer: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTY5MzYxMjgwMH0.sig
Uitvoer: Header: {"alg":"HS256"}
Payload: {"sub":"admin","exp":1693612800}
Veelvoorkomende problemen
- Verwarrend decoderen met verifiëren: het decoderen van een JWT leest alleen de inhoud ervan; het bewijst NIET dat het token authentiek is. Verifieer altijd de handtekeningserverzijde met de ondertekeningssleutel.
- Verlopen tokens vertrouwen: controleer de 'exp'-claim en wijs verlopen tokens af. De 'exp'-waarde is een Unix-tijdstempel in seconden.
- Base64 vs Base64URL —JWT gebruikt Base64URL-codering (geen opvulling, - en _ in plaats van + en /). Een standaard Base64 decoder zal falen op JWT onderdelen.
- Gevoelige gegevens in de payload —JWT payloads zijn leesbaar voor iedereen die het token heeft. Bewaar geen wachtwoorden, creditcardnummers of andere geheimen in de payload.
Tips
- Controleer altijd de JWT-handtekening aan de serverzijde voordat u enige claim vertrouwt. Alleen decoderen is geen authenticatie.
- Controleer de claims 'exp' (vervaldatum) en 'nbf' (niet eerder) om er zeker van te zijn dat het token geldig is voor de huidige tijd.
- Gebruik tokens met een korte levensduur (15-60 minuten) met vernieuwingstokens voor lange sessies: minimaliseert de schade als een token lekt.
- Gebruik onze JWT Decoder voor veilige, lokale foutopsporing: uw token verlaat nooit uw browser.