JWT dekodér

Jak dekódovat JWT

1. Vlož token do pole JSON Web Token. Funguje i celá hodnota Authorization: Bearer …: předpona Bearer i případné zalomení řádků se odstraní.
2. Token se dekóduje už během psaní (nebo klikni na Dekódovat). Hlavička a Obsah (payload) se zobrazí jako formátovaný JSON, každý s vlastním tlačítkem Kopírovat.
3. Prohlédni si tabulku Časové údaje: exp, nbf a iat se zobrazí se surovou hodnotou, datem v tvém časovém pásmu, relativním časem („za 3 hodiny“, „před 2 dny“) a stavem, například Vypršelo nebo Zatím neplatné.
4. Zkontroluj varování nad výsledky, například když je alg rovno none nebo když časový údaj vypadá jako milisekundy.
5. Chceš-li ověřit podpis, vyplň klíč v části Ověřit podpis a klikni na Ověřit podpis.

Dekódování není ověření

JWT tvoří tři části zakódované v Base64url a oddělené tečkami: hlavička.obsah.podpis. Hlavička a obsah jsou pouze zakódované, nikoli šifrované, takže si je přečte každý, kdo token drží, a tento nástroj dokáže dekódovat jakýkoli token bez klíče. Znamená to také, že dekódovaný obsah nic nedokazuje: někdo ho mohl upravit. Teprve platný podpis ukazuje, že token vydal držitel klíče a že se od té doby nezměnil. Stavový řádek proto uvádí „Dekódováno (podpis není ověřen)“, dokud podpis neověříš.

Token s pěti částmi je JWE (šifrované JWT). Jeho obsah nelze bez dešifrovacího klíče přečíst a nástroj ti to oznámí.

Ověření podpisu

• HS256, HS384, HS512 (HMAC): zadej sdílené Tajemství. V poli Formát tajemství vyber, zda jde o prostý text (UTF-8), nebo o Base64/Base64url, protože někteří poskytovatelé ukládají tajemství v Base64. Můžeš také vložit JWK typu oct. Pokud je tajemství kratší než výstup hashe (32 bajtů u HS256), nástroj upozorní, že je pod minimem podle RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 a EdDSA: vlož Veřejný klíč (PEM nebo JWK). Přijímané bloky PEM jsou PUBLIC KEY, RSA PUBLIC KEY a CERTIFICATE (klíč se načte z certifikátu X.509). Funguje také JWK nebo celá sada JWK Set: použije se klíč, jehož kid odpovídá hlavičce. Soukromé klíče se odmítají; ověření je nikdy nepotřebuje. EdDSA podporuje Ed25519 v prohlížečích, jejichž Web Crypto ho implementuje.

Ověření využívá rozhraní Web Crypto API tvého prohlížeče. Výsledek „Neplatný podpis“ znamená, že klíč je špatný nebo že byl token změněn. Pamatuj, že algoritmus se zde bere z hlavičky tokenu: skutečný server musí očekávaný algoritmus pevně nastavit v konfiguraci, jinak by ho mohl zvolit útočník.

Bezpečnostní poznámky

• Tokeny jsou přihlašovací údaje. Kdo drží platný přístupový token, může obvykle jednat jeho jménem, dokud nevyprší. Tento nástroj vše dekóduje a ověřuje ve tvém prohlížeči a token ani klíč nikam neposílá. I tak se vyhni vkládání produkčních tokenů do nástrojů, které si nemůžeš prověřit.
• alg: none znamená nepodepsaný token. Takový token může padělat kdokoli a server ho musí odmítnout. Nástroj zobrazí varování a takový token odmítne „ověřit“.
• Kontrola času zde používá hodiny tvého počítače bez jakékoli tolerance; servery často připouštějí rozdíl hodin v řádu jedné či dvou minut.
• Data v JWT (NumericDate) jsou sekundy od 1. ledna 1970 UTC. Třináctimístná hodnota je pravděpodobně v milisekundách, což je častá chyba.