JWT dekoder

Kako dekodirati JWT

1. Zalijepi token u polje JSON Web Token. Radi i cijela vrijednost Authorization: Bearer …: prefiks Bearer i prijelomi redaka se uklanjaju.
2. Token se dekodira dok tipkaš (ili klikni Dekodiraj). Zaglavlje i Sadržaj (payload) prikazuju se kao formatirani JSON, svaki sa svojim gumbom Kopiraj.
3. Pogledaj tablicu Vremenske tvrdnje: exp, nbf i iat prikazani su sa sirovom vrijednošću, datumom u tvojoj vremenskoj zoni, relativnim vremenom i statusom kao što je Isteklo ili Još ne vrijedi.
4. Pročitaj upozorenja iznad rezultata, na primjer kad je alg jednak none ili kad datum izgleda kao milisekunde.
5. Za provjeru potpisa upiši ključ pod Provjeri potpis i klikni Provjeri potpis.

Dekodiranje nije provjera

JWT se sastoji od tri Base64url dijela odvojena točkama: zaglavlje.sadržaj.potpis. Zaglavlje i sadržaj samo su kodirani, a ne šifrirani, pa ih može pročitati svatko tko ima token, a ovaj alat može dekodirati bilo koji token bez ključa. To također znači da dekodirani sadržaj ništa ne dokazuje: netko ga je mogao izmijeniti. Samo ispravan potpis pokazuje da je token izdao vlasnik ključa i da se od tada nije mijenjao. Zato status ostaje „Dekodirano (potpis nije provjeren)“ dok ga ne provjeriš.

Token s pet dijelova je JWE (šifrirani JWT); njegov se sadržaj ne može pročitati bez ključa za dešifriranje, a alat ti to i kaže.

Provjera potpisa

• HS256, HS384, HS512 (HMAC): unesi zajedničku Tajnu. U polju Format tajne odaberi je li riječ o običnom tekstu (UTF-8) ili o Base64/Base64url zapisu, jer neki pružatelji čuvaju tajne u Base64. Možeš zalijepiti i JWK tipa oct. Ako je tajna kraća od izlaza hash funkcije (32 bajta za HS256), alat napominje da je ispod minimuma iz RFC-a 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 i EdDSA: zalijepi Javni ključ (PEM ili JWK). Podržani PEM blokovi su PUBLIC KEY, RSA PUBLIC KEY i CERTIFICATE (ključ se čita iz X.509 certifikata). Radi i JWK ili cijeli JWK Set: koristi se ključ čiji kid odgovara zaglavlju. Privatni ključevi se odbijaju; provjera ih nikada ne treba. EdDSA podržava Ed25519 u preglednicima čiji Web Crypto to omogućuje.

Provjera koristi Web Crypto API preglednika. Rezultat „Neispravan potpis“ znači da je ključ pogrešan ili da je token izmijenjen. Imaj na umu da se algoritam uzima iz zaglavlja tokena: pravi poslužitelj mora očekivani algoritam fiksirati u konfiguraciji, inače ga napadač može sam odabrati.

Sigurnosne napomene

• Tokeni su vjerodajnice. Tko ima važeći pristupni token, obično može djelovati u ime njegova vlasnika do isteka. Ovaj alat sve dekodira i provjerava u tvom pregledniku i nikada nigdje ne šalje token ni ključ. Ipak izbjegavaj lijepiti produkcijske tokene u alate koje ne možeš pregledati.
• alg: none znači da token nije potpisan. Svatko ga može krivotvoriti, a poslužitelj ga mora odbiti. Alat prikazuje upozorenje i odbija „provjeriti“ takav token.
• Provjere vremena ovdje koriste sat tvog računala bez ikakve tolerancije; poslužitelji često dopuštaju minutu-dvije razlike u satovima.
• JWT datumi (NumericDate) su sekunde od 1. siječnja 1970. UTC. Trinaest znamenki vjerojatno su milisekunde, što je čest propust.