Entwickler-Tools
JWT-Decoder und -Generator
JWTs lokal dekodieren oder erzeugen – Geheimnisse verlassen nie deinen Browser.
Läuft lokal in deinem Browser – deine Eingaben werden nicht hochgeladen.
Was ist dieses Tool?
Füge ein JSON Web Token ein, um Header und Payload als formatiertes JSON zu sehen – praktisch beim Debuggen von Logins, API-Authentifizierung oder abgelaufenen Sitzungen. Du kannst auch HS256-signierte Tokens für lokale Tests erstellen, ohne eine Bibliothek zu installieren.
Ein JWT besteht aus drei Teilen: Header, Payload und Signatur. Beim Dekodieren werden die ersten beiden Segmente base64url-dekodiert, damit du die Claims sehen kannst.
Das Erzeugen geschieht lokal. HS256 nutzt die Web-Crypto-API, dein Geheimnis bleibt nur im Arbeitsspeicher. Der unsignierte Modus alg „none“ ist nur für Tests.
Die Prüfung beliebiger Algorithmen (RS256 usw.) und die Verwaltung produktiver Schlüssel sind bewusst ausgeklammert.
Behandle Tokens und Geheimnisse als sensibel. Arbeite möglichst nur mit Daten, für die du eine Berechtigung hast.
So verwendest du: JWT-Decoder / -Generator
- Dekodieren: ein JWT einfügen und auf „Dekodieren“ klicken, um Header und Payload als JSON zu sehen.
- Erzeugen: zu „Erzeugen“ wechseln, Header- und Payload-JSON bearbeiten, HS256 oder none wählen, ein Geheimnis eingeben und auf „JWT erzeugen“ klicken.
- Wichtig: Dekodieren prüft die Signatur nicht. Erzeugte Tokens sind für lokale Tests gedacht.
Beispiele
Aufbau eines JWT
header.payload.signature – jedes Segment ist base64url-kodiertes JSON (außer der Signatur).
Häufige Fragen
Prüft ToolForge mein JWT?
Nein. Der Dekodiermodus dekodiert nur. Die Signaturprüfung ist in V1 bewusst ausgeklammert, um keine Geheimnisse zu sammeln.
Werden mein Token oder Geheimnis hochgeladen?
Niemals. Dekodieren und Erzeugen passieren vollständig in deinem Browser.
Mit welchen Algorithmen kann ich erzeugen?
HS256 (HMAC-SHA256) mit gemeinsamem Geheimnis oder unsigniertes alg none für lokale Experimente. Asymmetrische Algorithmen sind noch nicht enthalten.
Wie erkenne ich, ob ein JWT abgelaufen ist?
Sieh dir den exp-Claim in der dekodierten Payload an. Er ist ein Unix-Zeitstempel in Sekunden – füge ihn in den Zeitstempel-Konverter ein, um Datum und Uhrzeit genau zu sehen.
Später mehr Funktionen gewünscht?
Premium-Tools, höhere Limits und API-Zugang sind geplant. V1 bleibt kostenlos und privat in deinem Browser.