So funktioniert es
Ein JSON Web Token besteht aus drei Base64URL-Teilen mit Punkten getrennt: Header, Payload und Signatur. Dekodieren liest nur die ersten beiden, funktioniert also offline und beweist nie, wer das Token ausgestellt hat. Nur eine Signaturprüfung gegen den Schlüssel des Ausstellers beweist die Echtheit, und ein abgelaufenes Token muss selbst mit gültiger Signatur abgelehnt werden.
header.payload.signature → JSON + Daten + Signaturprüfung
Welcher Schlüssel wofür
- HS256 / HS384 / HS512: füge den geteilten Secret-Text ein. Jeder damit kann signieren und prüfen.
- RS256–RS512 / PS256–PS512: füge den öffentlichen Schlüssel als PEM (SPKI) oder JWK ein. Der private Schlüssel bleibt beim Aussteller.
- ES256 / ES384 / ES512: füge den öffentlichen EC-Schlüssel als PEM oder JWK ein; die rohe R‖S-Signatur im Token wird automatisch umgewandelt.
- EdDSA: füge den 32-Byte-öffentlichen Schlüssel als Base64URL oder Hex ein.
- none: gar keine Signatur. Solchen Token darf niemals vertraut werden.
Tipps
- exp, iat und nbf werden als Datum gezeigt, jeweils mit ob es schon vorbei ist.
- Ein echtes Access-Token hier einzufügen ist vor dem Netz sicher, aber jeder mit dem Token kann es nutzen – nimm lieber kurze Test-Token.
- Alles läuft in deinem Browser; nichts wird hochgeladen.
Standards und Quellen
- JSON Web Token (JWT): RFC 7519; JWS-Signaturen: RFC 7515
- Algorithmen (HS/RS/PS/ES): RFC 7518; EdDSA: RFC 8032
- Base64URL: RFC 4648
Zuletzt geprüft 12. Oktober 2026
Häufige Fragen
Was beweist das Dekodieren?
Nichts über die Echtheit. Dekodieren liest nur Header und Payload, die jeder fälschen kann. Nur eine Signaturprüfung mit dem Schlüssel des Ausstellers beweist, dass das Token echt ist.
Welche Algorithmen lassen sich prüfen?
HMAC (HS256/384/512) mit dem geteilten Secret, RSA (RS/PS) und ECDSA (ES256/384/512) mit öffentlichem PEM- oder JWK-Schlüssel sowie EdDSA (Ed25519) mit dem rohen öffentlichen Schlüssel. Token mit alg none haben keine Signatur und dürfen niemals akzeptiert werden.
Warum lehnt der Server mein gültiges Token ab?
Die üblichen Gründe sind ein abgelaufener exp-Wert, falsche Audience oder falscher Issuer oder Zeitversatz zwischen Signierer und Server. Diese Seite zeigt jeden Datums-Claim, damit du siehst, welcher scheitert.
Ist es sicher, hier ein echtes Token einzufügen?
Die Seite arbeitet vollständig offline und sendet nichts irgendwohin, aber jeder mit dem Token kann es bis zum Ablauf nutzen. Nutze lieber kurzlebige Test-Token als echte Produktiv-Token.