Как пользоваться
- Вставьте compact JWT из трёх сегментов.
- Изучите header, payload и временные claims.
- Добавьте секрет или public key, чтобы отдельно проверить подпись.
Работает локально в браузере
JWT decoder и проверка подписи
Декодируйте JWT, просматривайте header и payload, проверяйте HS, RS, PS и ES подписи и сроки действия. Создавайте HMAC-JWT локально в браузере.
…
Проверяйте токен, а не только его содержимое
Base64URL-декодирование не доказывает подлинность JWT. Инструмент показывает статус подписи отдельно от времени действия и никогда не выдаёт непроверенный токен за валидный.
Секреты и ключи используются только в памяти текущей страницы. Для генерации доступны HS256, HS384 и HS512; асимметричные токены можно проверить публичным ключом.
- Header, payload и claims
- HS/RS/PS/ES verification
- Проверка exp, nbf и iat
- Секреты не сохраняются
Частые вопросы
Безопасно ли вставлять production JWT?+
Токен декодируется локально и не отправляется приложению на сервер. Тем не менее JWT часто содержит персональные данные и сам является credential: не передавайте его другим людям и очищайте поля после работы.
Почему payload виден без секрета?+
Обычный подписанный JWT только кодирует, но не шифрует header и payload. Секрет нужен для проверки подписи, а не для чтения содержимого.
Что означает истёкший токен с валидной подписью?+
Подпись подтверждает целостность токена, а exp определяет срок действия. Это независимые проверки: валидная подпись не делает истёкший токен пригодным.