RFC 7515 JWS & RFC 7519 JWT • 100% Clientseitig im Speicher

JWT & JWS Decoder – JSON Web Signatures Online Dekodieren

JWS- und JWT-Tokens lokal im Browser analysieren und debuggen. Verstehen Sie, warum Dekodieren nicht Verifizieren bedeutet, und prüfen Sie Claims ohne Server-Upload.

Kann man ein JWS / JWT ohne geheimen Schlüssel dekodieren?

Ja. Standardmäßige RFC 7515 JWS und RFC 7519 JWTs sind signiert, nicht verschlüsselt. Header (JOSE) und Payload sind lediglich Base64URL-kodierte JSON-Objekte, die von jedem ohne geheimen Schlüssel gelesen werden können. Der Schlüssel wird ausschließlich zur Prüfung oder Erstellung der Signatur benötigt.

KRITISCHE SICHERHEITSUNTERSCHEIDUNG: DEKODIEREN ≠ VERIFIZIEREN

Erfolgreiches Dekodieren beweist KEINESFALLS die Gültigkeit der Signatur

Ein weit verbreiteter Sicherheitsirrtum ist die Annahme, dass ein dekodierbarer Token vertrauenswürdig ist. JWS/JWT-Tokens sind lediglich Base64URL-kodiert. Jeder kann Header und Claims fälschen. Autorisieren Sie niemals Aktionen ausschließlich anhand dekodierter Nutzlasten ohne kryptografische Signaturprüfung mit Secret oder Public Key.

Kryptografische Signatur mit Secret / Public Key verifizieren →
100% Clientseitiger Datenschutz: Ihre Tokens, JWS-Signaturen und Zugangsdaten werden ausschließlich im Browser verarbeitet und NIEMALS an einen Server gesendet.
WhatsApp
Kodierter Token (JWT oder JWS einfügen) 0 chars
Supports RFC 7515 JWS Compact Serialization & Bearer Tokens 100% Offline
Header Payload Signature
Token-Status & Ablaufzeit Awaiting Input

Paste a token or click a sample button to inspect its claims.

Header: Algorithmus & Tokentyp (JOSE) 
{"alg": "none"}
Payload: Daten & Claims 
{}

Standard-Claims Übersicht

0 claims
No standard claims parsed yet.
Die Kernwerkzeuge verarbeiten Eingaben lokal. Optionale KI sendet den ausgewählten Ausschnitt nach Zustimmung über Cloudflare an Cloudflare AI oder den optionalen Google-Gemini-Ersatzanbieter; die Aufbewahrungsregeln des Anbieters gelten. Kontaktanfragen senden Ihre Angaben an unseren E-Mail-Anbieter. Offline-Nutzung setzt vollständig zwischengespeicherte Seiten und Ressourcen voraus; externe KI und Nachrichtenversand benötigen Internet. Core operation in browser memory
Local browser processing

JWT oder JWS ohne geheimen Schlüssel dekodieren

  1. Ein dreiteiliges signiertes Token einfügen oder ein Beispiel laden. Header und Payload sind Base64URL-kodiert und ohne geheimen Schlüssel lesbar.
  2. Algorithmus und Claims wie exp, iss und aud prüfen. Erst nach Signaturprüfung und Prüfung der Anwendungsanforderungen auf diese Angaben vertrauen.
  3. Zur Echtheitsprüfung den Signaturprüfer mit dem erwarteten Algorithmus und einem vertrauenswürdigen Schlüssel verwenden. Dekodieren authentifiziert nicht.

Was das Ergebnis bedeutet

Der Decoder entschlüsselt keine fünfteiligen JWE-Tokens. Abgelaufene oder gefälschte Tokens können lesbar sein; ihre Claims gewähren keinen Zugriff.

Praktischen Leitfaden lesen Signatur verifizieren RFC 7515: JSON Web Signature
JWT Diagnostics

JWT-Fehler-Debugger — Häufige Token-Fehler sofort diagnostizieren

Die 5 meistgesuchten JWT-Fehler. Klicken Sie auf "Im Decoder testen", um das Token direkt zu laden und die Claims zu analysieren.

TokenExpiredError: jwt expired

TokenExpiredError: jwt expired / "exp" timestamp is in the past
Grundursache

The exp (expiration time) claim in the token payload represents a Unix epoch timestamp that has already elapsed compared to current server time.

❌ Fehlerhaftes Token
Payload: { "sub": "12345", "name": "Alex", "exp": 1516239022 }
Status: EXPIRED (2018-01-18T01:30:22Z)
✅ Korrigiertes Token
Payload: { "sub": "12345", "name": "Alex", "exp": 1893456000 }
Status: ACTIVE (Valid through 2030-01-01)

Lösung: Request a fresh token using your refresh token endpoint, or check clock synchronization (NTP) between identity provider and API server.

JsonWebTokenError: invalid signature

JsonWebTokenError: invalid signature / cryptographic verification failed
Grundursache

The signature segment was computed with a different secret or private key, or the payload/header was modified in transit after signing, altering the HMAC/RSA digest.

❌ Fehlerhaftes Token
Header.Payload.TAMPERED_OR_WRONG_SECRET_SIGNATURE
Digest mismatch: Computed HMAC !== Received HMAC
✅ Korrigiertes Token
Header.Payload.VALID_VERIFIED_SIGNATURE
Digest matches: HMAC-SHA256(header.payload, SECRET)

Lösung: Ensure the API server uses the exact same secret key or public key (RS256) as the authentication server, and never alter payload bytes after signing.

JsonWebTokenError: jwt malformed (Segment Count)

JsonWebTokenError: jwt malformed / Expected 3 dot-separated segments
Grundursache

RFC 7519 compact JWTs must consist of exactly 3 parts separated by periods: Header.Payload.Signature. Pasting the "Bearer " prefix or omitting a section breaks the parser.

❌ Fehlerhaftes Token
Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0
(Has "Bearer " prefix and missing 3rd signature segment)
✅ Korrigiertes Token
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.Xp8sK2_9aB07R_8X9vU3L0x_6YpM5NqD9kM0wP8a1b2
(Clean 3-segment compact serialization)

Lösung: Strip the "Bearer " header prefix using token.replace(/^Bearer\s+/, "") before decoding, and confirm all 3 segments exist.

Base64Url Illegal Character / Whitespace

TypeError: Failed to execute "atob" / The string contains invalid base64 characters
Grundursache

JWT uses RFC 4648 URL-safe base64 (- instead of +, _ instead of /, no = padding). Extra whitespace, newlines, or standard base64 characters cause decoding exceptions.

❌ Fehlerhaftes Token
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 .eyJzdWIi... (Embedded whitespace before period)
✅ Korrigiertes Token
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIi... (Sanitized URL-safe base64 string)

Lösung: Trim trailing spaces and newlines using token.trim(). Replace + with - and / with _ before base64 decoding.

Algorithm None Vulnerability (alg: "none")

SecurityException: Algorithm "none" is rejected in production mode
Grundursache

Attackers forge tokens by specifying "alg": "none" in the header and omitting the signature. Insecure parsers that do not enforce algorithms accept unsigned forged payloads.

❌ Fehlerhaftes Token
Header: { "alg": "none", "typ": "JWT" }
Signature: (empty / unsigned bypass attempt)
✅ Korrigiertes Token
Header: { "alg": "HS256", "typ": "JWT" } or { "alg": "RS256", "typ": "JWT" }
Enforced cryptographic signature verification

Lösung: Always enforce strict algorithm whitelisting in your JWT verification middleware: algorithms: ["HS256", "RS256"]. Never permit alg: "none".

Entwickler-Praxisleitfaden

Code-Beispiele benötigt? Erfahren Sie, wie Sie JWT-Tokens ohne geheimen Schlüssel in Node.js, Python und Go dekodieren

Vollständiges Tutorial lesen
Häufig gestellte Fragen (FAQ) · JWT & JWS Token Decoder (RFC 7515 Offline Parser)

JWT Decoder & Inspector — RFC 7519 JSON Web Token Technischer Leitfaden

Dekodieren, inspizieren und validieren Sie JSON Web Tokens im Browser gemäß RFC 7519.

MU
IBM Maximo & Entwicklertools-Architekt
Technische Referenz

01. JSON Web Tokens: RFC 7519 Struktur & Claims

Ein JWT besteht aus drei durch Punkte getrennten Base64URL-codierten Teilen: Header, Payload und Signatur. Der Header spezifiziert den Token-Typ und den Signaturalgorithmus.

Der Payload enthält registrierte Claims aus RFC 7519: iss, sub, aud, exp, nbf, iat und jti. Der "alg: none"-Angriff umgeht die Signaturverifizierung vollständig.

  • RFC 7519 Registrierte Claims: iss, sub, aud, exp, nbf, iat, jti.
  • Algorithmus-Unterstützung: HS256/384/512, RS256/384/512, ES256/384/512.
  • Ablauferkennung: exp-Claim vs. aktuelle UTC-Zeit.

Häufig gestellte Fragen (FAQ)

Werden meine JWT-Tokens an Server übertragen?

Nein. Dekodierung und Verifizierung laufen vollständig im Browser-Speicher.

Kann ich JWT & JWS Token Decoder (RFC 7515 Offline Parser) auch ohne aktive Internetverbindung (offline) nutzen?

Für die Offline-Nutzung müssen die Seite und ihre Werkzeugdateien vollständig zwischengespeichert sein. Kernfunktionen laufen dann lokal; optionale KI und Kontaktversand benötigen Internet.

Ist JWT & JWS Token Decoder (RFC 7515 Offline Parser) kostenlos und gibt es Nutzungslimits?

Die Kernwerkzeuge sind kostenlos und ohne Konto nutzbar. Gerätespeicher und werkzeugspezifische Sicherheitsgrenzen gelten. Optionale KI und Online-Kontaktdienste haben Nutzungslimits.

Ähnliche Entwickler-Werkzeuge

Optimieren Sie Ihren Workflow mit komplementären, 100% privaten Browser-Werkzeugen.

Entwickler UTF-8 Sicher

Base64 & Hex Konverter

Base64, Hex und UTF-8-Text sicher und bidirektional codieren und decodieren – 100% lokal im Browser ohne Serverübertragung.

Werkzeug öffnen
Sicherheit Web Crypto + JS

Kryptografischer Hash-Generator

Kryptografische MD5, SHA-256 und SHA-512 Hashes mit Live-Prüfsummenvergleich zur schnellen Integritätsprüfung berechnen.

Werkzeug öffnen
Entwickler Multi-Sprache

cURL Befehl Konverter

cURL-Syntax in native Code-Snippets für JavaScript Fetch, Axios, Python Requests, Go und Node.js blitzschnell konvertieren.

Werkzeug öffnen
Entwickler Beliebt

JSON Formatierer & Validator

JSON-Daten mit sofortiger Syntaxfehlererkennung formatieren, validieren und minimieren.

Werkzeug öffnen
Sicherheit Web Crypto

HMAC Hash-Signatur Generator

Kryptografische HMAC-Signaturen mit SHA-256 und SHA-512 über die native Web Crypto API zur sicheren API-Authentifizierung direkt erzeugen.

Werkzeug öffnen
Sicherheit & PKI 100% Browser-lokal (DSGVO)

X.509 Zertifikat & CSR Decoder Online [100% Client-Side • Sicher]

SSL/TLS-Zertifikate und CSR-Dateien (.pem, .crt, .cer) sicher und privat direkt im Arbeitsspeicher Ihres Browsers ohne Server-Upload prüfen.

Werkzeug öffnen
Werkzeugverzeichnis entdecken