Wird ein JWT beim Dekodieren verifiziert?

Nein. Beim Dekodieren werden nur der Base64url-kodierte Header und die Payload gelesen. Die Signatur musst du mit dem Schlüssel des Ausstellers in deiner Anwendung verifizieren.

Wird mein Token irgendwohin gesendet?

Nein. Das Dekodieren läuft im Browser und das Token bleibt auf deinem Gerät.

Kann der Decoder ein Bearer-Token dekodieren?

Ja. Der Decoder akzeptiert Tokens mit optionalem Bearer-Präfix.

Warum enthält die Ausgabe ein _claims-Objekt?

Tool Kumar fügt es hinzu, um exp, iat und nbf als lesbare ISO-Zeitangaben anzuzeigen und anzugeben, ob das Token abgelaufen ist. Der Unterstrich kennzeichnet berechnete Daten. Das Objekt ist kein Bestandteil des Tokens.

JWT-Decoder für Header, Payload und Claims

So verwendest du dieses Tool

Füge ein JWT mit oder ohne Bearer-Präfix ein.
Lies rechts den dekodierten Header, die Payload und _claims. Bei exp steht, wie lange das Token noch gültig ist oder wie lange es bereits abgelaufen ist.
Prüfe die Werte von exp, iat und nbf. Verifiziere anschließend die Signatur in deiner eigenen Anwendung.

Praxisbeispiel

Tool Kumar dekodiert dieses HS256-Beispieltoken in Header, Payload und Signatur. Hinzu kommt ein _claims-Objekt mit lesbaren Zeitangaben für exp und iat.

Eingabe · example.jwt

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTc5MDgxMjgwMCwiZXhwIjoxODIyMzQ4ODAwfQ.8cC1krME5G5HZQKPQy8oBEQueQ60R5UgQLB1iXcLpBs

Ausgabe

{
  "header": {
    "alg": "HS256",
    "typ": "JWT"
  },
  "payload": {
    "sub": "1234567890",
    "name": "Ada Lovelace",
    "role": "admin",
    "iat": 1790812800,
    "exp": 1822348800
  },
  "signature": "8cC1krME5G5HZQKPQy8oBEQueQ60R5UgQLB1iXcLpBs",
  "_claims": {
    "exp": "2027-10-01T00:00:00.000Z",
    "iat": "2026-10-01T00:00:00.000Z",
    "expired": false
  }
}

Optionen und Sonderfälle

Der Decoder akzeptiert kompakte JWS-Tokens mit drei Teilen.
Er verifiziert weder die Signatur noch ruft er einen Schlüssel ab.
exp, iat und nbf erscheinen zusätzlich als ISO-Zeitangaben unter _claims. Sobald exp überschritten ist, wird expired auf true gesetzt.
Um das dekodierte JSON zu bearbeiten, wähle in der Befehlspalette „JWT durch dekodiertes JSON ersetzen“.

Standardmäßig privat

Dein Dokument bleibt in diesem Browser. Tool Kumar parst und konvertiert Daten und erstellt Downloads auf deinem Gerät, ohne Konto und ohne Upload.

JWT-Decoder: häufige Fragen

Wird ein JWT beim Dekodieren verifiziert?: Nein. Beim Dekodieren werden nur der Base64url-kodierte Header und die Payload gelesen. Die Signatur musst du mit dem Schlüssel des Ausstellers in deiner Anwendung verifizieren.
Wird mein Token irgendwohin gesendet?: Nein. Das Dekodieren läuft im Browser und das Token bleibt auf deinem Gerät.
Kann der Decoder ein Bearer-Token dekodieren?: Ja. Der Decoder akzeptiert Tokens mit optionalem Bearer-Präfix.
Warum enthält die Ausgabe ein _claims-Objekt?: Tool Kumar fügt es hinzu, um exp, iat und nbf als lesbare ISO-Zeitangaben anzuzeigen und anzugeben, ob das Token abgelaufen ist. Der Unterstrich kennzeichnet berechnete Daten. Das Objekt ist kein Bestandteil des Tokens.