Dekodér JWT

Ako dekódovať JWT

1. Vlož token do poľa JSON Web Token. Funguje aj celá hodnota Authorization: Bearer …: predpona Bearer aj prípadné zalomenia riadkov sa odstránia.
2. Token sa dekóduje počas písania (alebo klikni na Dekódovať). Hlavička a Obsah (payload) sa zobrazia ako formátovaný JSON, každý s vlastným tlačidlom Kopírovať.
3. Pozri si tabuľku Časové tvrdenia: exp, nbf a iat sa zobrazia s pôvodnou hodnotou, dátumom v tvojom časovom pásme, relatívnym časom („o 3 hodiny“, „pred 2 dňami“) a stavom, napríklad Expirovaný alebo Zatiaľ neplatný.
4. Všimni si upozornenia nad výsledkami, napríklad keď je alg rovné none alebo keď dátum vyzerá ako milisekundy.
5. Ak chceš skontrolovať podpis, vyplň kľúč v časti Overiť podpis a klikni na Overiť podpis.

Funguje v tvojom prehliadači. Nič, čo zadáš, sa neodosiela na server.

Dekódovanie nie je overenie

JWT tvoria tri časti vo formáte Base64url oddelené bodkami: hlavička.obsah.podpis. Hlavička a obsah sú iba zakódované, nie zašifrované, takže ich môže prečítať každý, kto má token, a tento nástroj dokáže dekódovať ľubovoľný token aj bez kľúča. Z toho vyplýva, že dekódovaný obsah nič nedokazuje: niekto ho mohol upraviť. Že token vydal držiteľ kľúča a od vydania sa nezmenil, preukáže až platný podpis. Stavový riadok preto uvádza „Dekódované (podpis nie je overený)“, kým podpis neoveríš.

Token s piatimi časťami je JWE (šifrovaný JWT). Jeho obsah sa bez dešifrovacieho kľúča nedá prečítať a nástroj ti to oznámi.

Overenie podpisu

• HS256, HS384, HS512 (HMAC): zadaj zdieľané Tajomstvo. V poli Formát tajomstva vyber, či ide o čistý text (UTF-8), alebo o Base64/Base64url, pretože niektorí poskytovatelia ukladajú tajomstvá v Base64. Môžeš vložiť aj JWK typu oct. Ak je tajomstvo kratšie ako výstup hašovacej funkcie (32 bajtov pri HS256), nástroj upozorní, že je pod minimom podľa RFC 7518.
• RS256/384/512, PS256/384/512, ES256/384/512 a EdDSA: vlož Verejný kľúč (PEM alebo JWK). Prijímané bloky PEM sú PUBLIC KEY, RSA PUBLIC KEY a CERTIFICATE (kľúč sa prečíta z certifikátu X.509). Funguje aj JWK alebo celý súbor JWK Set: použije sa kľúč, ktorého kid zodpovedá hlavičke. Súkromné kľúče sa odmietnu, na overenie ich nikdy nepotrebuješ. EdDSA podporuje Ed25519 v prehliadačoch, ktorých Web Crypto ho implementuje.

Overenie využíva rozhranie Web Crypto prehliadača. Výsledok „Neplatný podpis“ znamená, že kľúč je nesprávny alebo že token bol upravený. Pozor: algoritmus sa berie z hlavičky tokenu, kým skutočný server musí očakávaný algoritmus pevne nastaviť v konfigurácii, inak by ho mohol zvoliť útočník.

Bezpečnostné poznámky

• Tokeny sú prístupové údaje. Kto drží platný prístupový token, môže zvyčajne konať v mene jeho vlastníka, kým token neexpiruje. Tento nástroj všetko dekóduje a overuje v tvojom prehliadači a token ani kľúč nikam neodosiela. Napriek tomu nevkladaj produkčné tokeny do nástrojov, ktoré nemôžeš skontrolovať.
• alg: none znamená, že token nie je podpísaný. Ktokoľvek ho môže sfalšovať a server ho musí odmietnuť. Nástroj zobrazí upozornenie a takýto token „neoverí“.
• Kontroly času tu používajú hodiny tvojho počítača bez akejkoľvek tolerancie; servery často pripúšťajú rozdiel hodín jednu až dve minúty.
• Dátumy v JWT (NumericDate) sú v sekundách od 1. januára 1970 UTC. Trinásťmiestna hodnota je pravdepodobne v milisekundách, čo je častá chyba.