JWT декодер

Како да декодирате JWT

1. Залепете го токенот во полето JSON Web Token. Работи и цела вредност од типот Authorization: Bearer …: префиксот Bearer и прекините на редови се отстрануваат.
2. Токенот се декодира додека пишувате (или кликнете Декодирај). Заглавие и Содржина (payload) се појавуваат како форматиран JSON, секое со свое копче Копирај.
3. Погледнете ја табелата Временски тврдења: exp, nbf и iat се прикажани со суровата вредност, датумот во вашата временска зона, релативно време („за 3 часа“, „пред 2 дена“) и статус како Истечен или Сè уште не важи.
4. Прочитајте ги предупредувањата над резултатите, на пример кога alg е none или кога датумот личи на милисекунди.
5. За да го проверите потписот, внесете го клучот под Проверка на потписот и кликнете Провери потпис.

Декодирање не е проверка

JWT се состои од три Base64url дела одделени со точки: header.payload.signature. Заглавието и содржината се само кодирани, не и шифрирани, па секој што го има токенот може да ги прочита, а оваа алатка може да декодира кој било токен без клуч. Тоа значи и дека декодираната содржина ништо не докажува: некој можеби ја изменил. Само важечки потпис покажува дека токенот го издал сопственикот на клучот и дека оттогаш не е менуван. Затоа статусот вели „Декодирано (потписот не е проверен)“ додека не го проверите потписот.

Токен со пет дела е JWE (шифриран JWT). Неговата содржина не може да се прочита без клуч за дешифрирање, а алатката ви го кажува тоа.

Проверка на потписот

• HS256, HS384, HS512 (HMAC): внесете ја заедничката Тајна. Во Формат на тајната изберете дали е обичен текст (UTF-8) или Base64/Base64url, бидејќи некои даватели ги чуваат тајните во Base64. Можете да залепите и JWK од тип oct. Ако тајната е пократка од резултатот на хаш функцијата (32 бајти за HS256), алатката забележува дека е под минимумот од RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 и EdDSA: залепете го Јавниот клуч (PEM или JWK). Прифатени се PEM блоковите PUBLIC KEY, RSA PUBLIC KEY и CERTIFICATE (клучот се чита од X.509 сертификатот). Работи и JWK или цел JWK Set: се користи клучот чиј kid одговара на заглавието. Приватните клучеви се одбиваат; проверувачот никогаш не ги бара. EdDSA поддржува Ed25519 во прелистувачи чиј Web Crypto го имплементира.

Проверката го користи Web Crypto API на прелистувачот. Резултатот „Неважечки потпис“ значи дека клучот е погрешен или токенот е изменет. Имајте предвид дека алгоритмот се зема од заглавието на токенот: вистински сервер мора наместо тоа да го фиксира очекуваниот алгоритам во својата конфигурација, инаку напаѓачот може сам да го избере.

Безбедносни напомени

• Токените се акредитиви. Секој што држи важечки токен за пристап обично може да дејствува како негов сопственик додека не истече. Оваа алатка сè декодира и проверува во вашиот прелистувач и никогаш не го испраќа токенот или клучот никаде. Сепак, избегнувајте да залепувате продукциски токени во алатки што не можете да ги проверите.
• alg: none значи дека токенот не е потпишан. Секој може да фалсификува таков токен, а серверот мора да го одбие. Алатката прикажува предупредување и одбива да го „провери“ таквиот токен.
• Проверките на времето овде го користат часовникот на вашиот компјутер без никаква толеранција; серверите често дозволуваат минута-две отстапување.
• Датумите во JWT (NumericDate) се секунди од 1 јануари 1970 UTC. Тринаесетцифрена вредност најверојатно е во милисекунди, што е честа грешка.