Was ist ein JWT?

Ein JSON Web Token (JWT) ist ein kompaktes, URL-sicheres Token-Format aus drei Base64URL-kodierten Teilen — Header, Payload und Signatur — durch Punkte getrennt, häufig für Authentifizierung und Informationsaustausch verwendet.

Überprüft dieses Tool die Signatur des Tokens?

Nein. Dieses Tool dekodiert nur Header und Payload, damit du ihren Inhalt lesen kannst; es prüft die Signatur nicht mit einem geheimen oder öffentlichen Schlüssel. Darauf weisen auch die Hinweise unter dem Eingabefeld und neben der Signatur hin.

Was bedeuten die Claims exp, iat und nbf?

iat ist der Ausstellungszeitpunkt des Tokens, nbf der früheste Zeitpunkt, ab dem es gültig ist, und exp der Ablaufzeitpunkt. Alle drei sind Unix-Zeitstempel (Sekunden seit 1970), die dieses Tool in ein lesbares Datum umwandelt.

Ist es sicher, hier ein echtes Produktions-Token einzufügen?

Ja, in dem Sinne, dass die Dekodierung vollständig in deinem Browser stattfindet und das Token nirgendwohin gesendet wird — behandle aber jedes echte Token als Geheimnis, egal wo du es einfügst, da jeder, der es besitzt, es bis zum Ablauf verwenden könnte.

Warum kann ich den Signaturteil nicht lesen?

Die Signatur ist nicht für Menschen lesbar gedacht — sie ist ein kryptografischer Wert, der bestätigt, dass das Token nicht manipuliert wurde. Dieses Tool zeigt sie als reinen Text an, versucht aber nicht, sie zu dekodieren oder zu verifizieren.

Warum steht bei meinem Token „Nicht abgelaufen“, aber meine API lehnt es trotzdem ab?

Das Badge vergleicht nur den exp-Claim mit der Uhr deines Geräts. Ein Server kann das Token trotzdem ablehnen, wenn die Signatur nicht zu seinem Schlüssel passt, der aud- oder iss-Claim falsch ist, nbf noch in der Zukunft liegt, das Token widerrufen wurde oder die Serveruhr von deiner abweicht.