What a JWT decoder shows

A JWT has three Base64url sections joined by dots: header, payload, and signature. A decoder reads the header and payload as JSON so you can inspect claims like sub, exp, and iat. The signature is not human-readable.

Does this verify the JWT signature?

No. Decoding a JWT shows what the token claims, but it does not prove the token is authentic. Always verify the signature against your secret or public key on the server before trusting any claim, and never store secrets in a JWT payload.

JWT-Decoder online — Token-Claims lesen

token.jwt

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsImlhdCI6MTUxNjIzOTAyMn0.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

decoded.json

JWT einfügen, um Header und Payload zu dekodieren. Die Dekodierung prüft die Signatur nicht.

Verwandt

Anleitungen zu JWT Decode

Alle Anleitungen →

Anleitung

Datenschutz: JSON-Werkzeuge, die deinen Browser nicht verlassen

JSON-, JWT- und Base64-Werkzeuge, die jedes Byte lokal in deinem Browser-Tab verarbeiten — kein Upload-Endpunkt, keine serverseitigen Logs eingefügter Nutzlasten.

Anleitung

Base64-Strings dekodieren (und JWT-Payloads)

Base64 ist eine umkehrbare Kodierung, keine Verschlüsselung. Dekodiere in einem Schritt, behandle Unicode korrekt und lies JWT-Abschnitte, die Base64url verwenden.

Anleitung

JSON vor API-Anfragen validieren

Ein schneller Validierungsschritt vor einer API-Anfrage trennt JSON-Syntaxprobleme klar von Authentifizierungs-, Schema- und Backend-Fehlern.

JSON Web Token (JWT) dekodieren

Ein JWT besteht aus drei Base64url-kodierten Segmenten, verbunden durch Punkte: header.payload.signature. Füge das Token ein und klicke auf Decode, um Header und Payload als JSON zu lesen. Alle Verarbeitung läuft in deinem Browser —— das Token wird nicht an einen Server gesendet, was wichtig ist, da JWTs oft Identitäts- und Sitzungs-Claims enthalten.

Egal, ob du nach decode jsonwebtoken (in einem Wort), jwt decode oder * json web token decoder* suchst : dieses Tool macht immer dasselbe : an den Punkten splitten, die ersten beiden Segmente Base64url-dekodieren und das Ergebnis als JSON darstellen.

Dekodieren ist keine Verifikation

Jede und jeder kann ein JWT dekodieren —— es ist kein Schlüssel nötig, denn der Payload ist nur kodiert, nicht verschlüsselt. Das Dekodieren zeigt nur, was das Token behauptet ; es belegt nicht, dass es echt ist. Verifiziere immer die Signatur serverseitig mit deinem geheimen oder öffentlichen Schlüssel, bevor du einem Claim vertraust, und schreibe niemals Passwörter oder Geheimnisse in den JWT-Payload.

Häufige Claims

iss Aussteller · sub Subjekt · aud Zielgruppe
exp Ablauf · iat ausgestellt am · nbf nicht vor (Unix-Zeitstempel)

Mehr Details unter Wie man ein JWT dekodiert und Warum Base64 keine Verschlüsselung ist. Um einzelne Segmente manuell zu prüfen, nutze den Base64-Decoder.

FAQ

Verifiziert dieses Tool die Signatur des JWT?

Nein. Das Dekodieren zeigt nur, was das Token behauptet ; es ist kein Echtheitsnachweis. Verifiziere immer die Signatur serverseitig mit deinem geheimen oder öffentlichen Schlüssel, bevor du einem Claim vertraust, und speichere niemals sensible Informationen im JWT-Payload.