Как это работает
JSON Web Token состоит из трёх частей Base64URL, разделённых точками: заголовка, полезной нагрузки и подписи. Декодирование читает только первые две, поэтому работает офлайн и никогда не доказывает, кто выпустил токен. Подлинность доказывает только проверка подписи ключом издателя, а токен с истекшим сроком следует отклонять даже с действительной подписью.
header.payload.signature → JSON + даты + проверка подписи
Какой ключ использовать
- HS256 / HS384 / HS512: вставьте текст общего секрета. Его обладатель может и подписывать, и проверять.
- RS256–RS512 / PS256–PS512: вставьте публичный ключ как PEM (SPKI) или JWK. Приватный ключ остаётся у издателя.
- ES256 / ES384 / ES512: вставьте публичный EC-ключ как PEM или JWK; необработанная подпись R‖S внутри токена преобразуется автоматически.
- EdDSA: вставьте 32-байтовый публичный ключ как Base64URL или hex.
- none: подписи нет вовсе. Таким токенам нельзя доверять.
Советы
- exp, iat и nbf показаны как даты с указанием, прошло ли каждое из них.
- Вставлять сюда настоящий токен доступа безопасно с точки зрения сети, но обладатель токена может им воспользоваться — лучше используйте короткие тестовые токены.
- Всё работает в вашем браузере; ничего не загружается.
Стандарты и источники
- JSON Web Token (JWT): RFC 7519; подписи JWS: RFC 7515
- Алгоритмы (HS/RS/PS/ES): RFC 7518; EdDSA: RFC 8032
- Base64URL: RFC 4648
Последняя проверка 12 октября 2026 г.
Часто задаваемые вопросы
Что доказывает декодирование?
Ничего о подлинности. Декодирование лишь читает заголовок и полезную нагрузку, которые может подделать кто угодно. Подлинность токена доказывает только проверка подписи ключом издателя.
Какие алгоритмы можно проверить?
HMAC (HS256/384/512) с общим секретом, RSA (RS/PS) и ECDSA (ES256/384/512) с публичным ключом PEM или JWK, а также EdDSA (Ed25519) с необработанным публичным ключом. Токенам с alg none не имеют подписи, и им нельзя доверять.
Почему сервер отклоняет мой действительный токен?
Обычные причины — истёкший claim exp, неверные аудитория или издатель либо расхождение часов подписавшего и сервера. Эта страница показывает каждый временной claim, чтобы было видно, какой из них не проходит.
Безопасно ли вставлять сюда настоящий токен?
Страница работает полностью офлайн и ничего никуда не отправляет, но любой обладатель токена может использовать его до истечения срока. Лучше используйте недолговечные тестовые токены вместо боевых токенов доступа.