ToolAtlasSie sehen, was im Token steht: Algorithmus, Claims, Zeiten. Jeder mit dem Token kann dasselbe lesen. Wir prüfen die Signatur nicht und knacken kein Secret.
Der Login hängt, das API sagt 401, und irgendwo klebt ein eyJ…-String. Die deutsche Suche lautet JWT dekodieren oder JWT Decoder: Was steht drin, ist exp vorbei, welcher alg?
Diese Seite zerlegt drei Segmente: Header, Payload, Signaturrohdaten. Sie prüft die Signatur nicht. jwt.io bleibt der bekannte Debugger; viele andere Seiten können Pastes loggen. Hier bleibt der Token im Tab.
Was Sie ablesen
alg,typ, manchmalkid- Claims wie
sub,iss,aud, Rollen iat,nbf,exp— Zeiten, keine Magie
Beispiel eines unsicheren Headers zum Üben, nicht zum Produktivbetrieb:
eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIiwidG9vbCI6Imp3dC1kZWNvZGVyIn0.Was diese Seite nicht tut
- Kein HS256-Knacken, kein Forgen, kein „Admin setzen“.
- Kein AES und kein Hash des Tokens als Passwortersatz.
- Roh-Base64 ohne JWT-Struktur: Base64.
Produktions-Tokens wie Passwörter behandeln. Dekodieren erklärt Behauptungen, es beweist keine Echtheit.
Ablauf und Stolpersteine
- Drei Segmente, Punkte dazwischen. Fehlt ein Punkt, ist es oft kein JWT, sondern reines Base64.
algzuerst lesen.noneist ein Warnsignal, kein Feature. Signatur prüfen wir nicht.expals Unix-Zahl: Unix-Zeitstempel. Abgelaufen entscheidet der Server, nicht der Decoder.
Stolperstein: jwt.io-Klone, die Pastes loggen. Hier keine Übertragung — trotzdem Test-Tokens bevorzugen. JWE (verschlüsselt) ist ein anderes Format als dieses lesbare JSON.