Warum der Ort der Decodierung zählt
Ein Produktions-JWT ist eine lebende Zugangsberechtigung. Wer ihn in einen Decoder einfügt, der ihn an einen Server schickt, gibt eine gültige Sitzung an Dritte weiter — in vielen Teams passiert genau das täglich beim Debuggen. Dieses Werkzeug decodiert per JavaScript in deinem Tab: Netzwerk trennen und es läuft weiter.
Decodieren heißt nicht prüfen
Das Werkzeug liest die ersten beiden Teile des Tokens und zeigt sie als JSON. Es prüft die Signatur nicht, und dieser Unterschied ist wichtig: ein lesbarer Payload bedeutet nicht, dass der Token echt ist. Die Prüfung braucht den geheimen oder öffentlichen Schlüssel des Ausstellers und gehört in dein Backend, nicht auf eine Webseite.
Die Claims, die du am häufigsten prüfst
`exp` ist der Ablauf in Unix-Sekunden und erklärt die meisten überraschenden 401er. `iat` sagt, wann ausgestellt wurde. `iss` und `aud` entscheiden, ob der Token überhaupt für deinen Dienst gedacht war. Auch `alg` im Header verdient einen Blick: ein Token mit `alg: none` ist ein Warnsignal, keine Kuriosität.
Ein JWT ist kein Ort für Geheimnisse
Alle drei Teile sind Base64url, also Kodierung ohne Schlüssel. Wer den Token abfängt, liest den vollständigen Inhalt mit genau diesem Werkzeug. Die Signatur garantiert, dass niemand ihn verändert hat, nicht dass niemand ihn lesen kann. Was der Client nicht sehen darf, gehört nicht in den Payload.