JWT Декодер

Эти термины относятся к алгоритму подписи в header JWT. HS256 (HMAC-SHA256) использует общий секрет — один и тот же ключ используется и для подписи, и для проверки. Это означает, что любой, кто владеет ключом, может создавать валидные токены. RS256 (RSA-SHA256) использует пару публичный/приватный ключи — сервер подписывает с помощью приватного ключа и публикует публичный ключ для проверки. RS256 более безопасен в распределенных системах, так как проверяющим нужен только публичный ключ и они не могут подделать токены. Этот декодер показывает вам поле alg, но не может проверить ни один из алгоритмов — он только читает содержимое.

Нет. Для проверки подписи требуется секрет (для HMAC-алгоритмов) или публичный ключ (для RSA/EC-алгоритмов), который использовался для подписания токена. Этот инструмент только декодирует — он выполняет Base64url-декодирование header и payload, чтобы показать вам содержимое без какой-либо криптографической проверки. Секция Signature отображается как есть, но не проверяется. Для проверки подписи используйте свою серверную библиотеку JWT (jsonwebtoken для Node.js, PyJWT для Python, java-jwt для Java и т.д.).

Registered claims — это стандартизированные поля payload, определенные в RFC 7519. Семь стандартных claims: iss (issuer) — кто выпустил токен; sub (subject) — о ком токен (обычно ID пользователя); aud (audience) — намеченные получатели; exp (expiration time) — Unix-метка времени после которой токен становится недействительным; nbf (not before) — Unix-метка времени до которой токен не должен приниматься; iat (issued at) — Unix-метка времени, когда токен был создан; jti (JWT ID) — уникальный идентификатор токена. Этот инструмент конвертирует exp, nbf и iat из Unix-отметок во время, читаемое человеком.

Декодер проверяет claim exp относительно текущего времени и четко помечает истекшие токены. Истекший токен означает, что API отклонит его с ответом 401 Unauthorized — вам нужно использовать свой refresh token для получения нового access token (если ваша система аутентификации поддерживает refresh токены) или войти в систему снова. Если вы отлаживаете ошибку "expired token" от API, этот декодер покажет вам точно, когда токен истек и когда он был выпущен.

Поле alg в header отображается в декодированном виде — если у токена есть "alg":"none", вы его увидите. Это известная уязвимость JWT: некоторые ранние реализации принимали токены без подписи (alg:none), что позволяло злоумышленникам подделывать произвольные payload. Любая правильно реализованная библиотека JWT отклоняет токены alg:none по умолчанию. Если вы видите alg:none в токене из вашей собственной системы, это критическая ошибка безопасности, требующая немедленного внимания.

Нет. Все декодирование происходит в вашем браузере с помощью JavaScript — Base64url-декодирование не требует вычислений на стороне сервера. Ваши JWT токены, включая любые ID пользователей, роли или данные сессий, которые они содержат, никогда не покидают ваше устройство. Тем не менее, будьте осторожны с вставкой рабочих (production) JWT токенов в любые онлайн-инструменты — даже в этот. Для отладки проблем с аутентификацией в продакшене используйте вкладку Network в инструментах разработчика вашего браузера или вашу систему логирования.

Валидный JWT должен иметь ровно две точки, разделяющие три секции, закодированных в Base64url. Если у токена нет точек, это не JWT — это может быть непрозрачный токен (opaque token) — случайный идентификатор, требующий поиска на стороне сервера, а не самодостаточный JWT. Некоторые системы используют оба типа: непрозрачный refresh токен и JWT access токен. Если вы получаете ошибку "Invalid JWT format", убедитесь, что вы вставляете access токен (который должен начинаться с "ey"), а не refresh токен.