JWT Decoder für ein Token, das ein 401 auslöst
Montagmorgen, die API antwortet mit 401, und niemand weiß, welches Token der Client wirklich schickt. Ein JWT Decoder zeigt dir das in Sekunden. Das Tool teilt den String an den Punkten, macht aus den ersten zwei Teilen wieder Text und gibt sie als eingerücktes JSON aus.
Typische Fragen dahinter: Steht die richtige Rolle im roles-Array? Gehört das Token zum richtigen Backend? Läuft es schon ab? Meist reicht dafür ein Blick auf die Payload und die Statusleiste.
Was der grüne Status nicht beweist
Die Signatur wird nicht geprüft. Das Tool liest den dritten Teil nie und hat kein Feld für einen Schlüssel. „Nicht abgelaufen“ heißt nur: Der exp-Claim liegt nach der Uhr deines Geräts in der Zukunft. Stell die Uhr um, und die Antwort ändert sich. Ein gefälschtes Token mit gutem exp sieht gleich aus.
Alle anderen Zeitangaben bleiben rohe Zahlen. nbf und iat werden weder umgerechnet noch getestet. Fehlt exp, steht dort „Kein Enddatum (Signatur nicht geprüft)“. Ein vorangestelltes Bearer bleibt stehen und führt zu einem Dekodierfehler. Verschlüsselte JWE-Tokens mit fünf Teilen scheitern ebenfalls. Zwei Teile genügen dagegen schon.
Fünf Schritte vom Text zum JSON
- Füge das Token in „Encoded JWT Token“ ein. Im Feld liegt anfangs ein Beispiel. „Beispiel laden“ holt es zurück, „Löschen“ leert das Feld.
- Links steht der Header, meist mit
algundtyp. - Rechts steht die Payload mit Claims wie
sub,iatundexp. - Die Statusleiste darüber nennt das Ablaufdatum im Format deiner Sprache.
- Der Kopieren-Knopf über einem Feld legt das formatierte JSON in die Zwischenablage.
Was auf deinem Rechner bleibt
Alles läuft als JavaScript im Browser. Beim Tippen und Einfügen geht keine Anfrage ins Netz, und das Token wird nicht gespeichert. Die Zwischenablage nutzt das Tool nur, wenn du einen Kopieren-Knopf drückst.