Decode JWT header and payload locally. No token leaves your browser.
⚠️ Decoding runs 100% locally in your browser — your JWT is never uploaded. Never paste production access tokens or sensitive credentials into any online tool. This decoder only reads the header and payload; it does NOT verify signatures and must not be used to trust token contents.
A JWT (RFC 7519) is a compact, URL-safe string of three dot-separated segments: a header that names the signing algorithm, a payload of claims about the user, and a signature that cryptographically binds the two. Each segment is JSON that has been Base64URL-encoded (URL-safe base64 with the padding stripped). This decoder reads the first two segments locally and checks the exp claim against the current time — it never verifies the signature, because that requires the server's secret key.
Left: the two JSON segments are Base64URL-encoded so the token survives URLs, cookies and Authorization headers. Right: the signature is HMAC-SHA256 (or RSA/ECDSA) computed over the encoded header.payload with a secret only the server holds — that is what proves the token was not tampered with.
Maya, a backend engineer, gets a 401 Unauthorized from an API. She pastes the token from the Authorization header into this decoder to see exactly what the server was complaining about.
A JWT has three parts: header.payload.signature. Paste your JWT to decode the base64 header and payload, check expiry, and inspect claims — all locally in your browser.
FreeToolHub JWT Decoder is a free browser-based tool that decodes JWT tokens to inspect header and payload, no signup, no upload.
Dekodieren und untersuchen Sie Header und Payload Ihrer JWTs sofort. Ohne Registrierung: Der Token verlässt Ihren Browser nie.
Der JWT Decoder zerlegt jedes JSON Web Token in seine drei durch Punkte getrennten Teile und stellt jeden in lesbarer Form dar: der Header zeigt den Algorithmus und die Schlüssel-ID, die Payload mit allen dekodierten Claims, und der Signaturabschnitt. Über das einfache Decoding hinaus führt er praktische Checks durch, die Entwickler tatsächlich benötigen — Algorithmuserkennung für HS256, HS512, RS256, ES256 und mehr, einen Ablaufzähler, der die exp- und iat-Datumsangaben in menschenlesbare Zeitstempel umwandelt, und das sofortige Markieren abgelaufener, noch nicht gültiger oder verdächtig falsch formatierter Tokens. Alles wird lokal in Ihrem Browser dekodiert, was wichtig ist, da JWTs Anmeldedaten sind: das Einfügen eines Tokens in einen zufälligen Webdienst ist dasselbe wie das Übergeben eines Sitzungsschlüssels.
Backend-Entwickler, die die Authentifizierung debuggen, prüfen, welche Claims ein Identitätsanbieter tatsächlich ausgegeben hat — Rollen, Scopes, Mandanten — anstatt was die Dokumentation versprochen hat. Frontend-Ingenieure, die nachverfolgen, warum ein Benutzer abgemeldet wurde, prüfen den exp-Zeitpunkt gegen die Uhrabweichung. API-Integratoren, die Webhook- und OAuth-Tokens verifizieren, bestätigen das richtige Publikum und den Aussteller, bevor sie Support-Tickets erstellen. Sicherheitslernende studieren reale Tokenstrukturen sicher, und jeder, der ein Token vor dem Einfügen in Protokolle überprüft, kann sensible Claims zuerst entfernen oder inspizieren.
(1) Fügen Sie den Token ein — das Tool erkennt automatisch die JWT-Form und teilt ihn an den Punkten. (2) Der Header wird von base64url dekodiert und enthüllt die Felder alg, typ und kid. (3) Die Payload wird mit jedem standardmäßigen Claim annotiert dekodiert: sub, iss, aud, exp, iat, nbf, plus benutzerdefinierte Claims, die so wie sie sind dargestellt werden. (4) Zeitstempel werden in Ihre lokale Zeitzone mit einem Live-Countdown umgewandelt; abgelaufene Tokens werden rot mit der verstrichenen Zeit seit dem Ablauf angezeigt. Der Signaturabschnitt wird angezeigt, aber nicht verifiziert, da die Verifizierung den geheimen oder öffentlichen Schlüssel erfordert, der niemals in Web-Tools eingefügt werden sollte.
Die registrierten Claims der Payload tragen die Semantik: sub identifiziert das Subjekt, normalerweise die Benutzer-ID; iss ist der Aussteller, der Authentifizierungsserver, der das Token ausgestellt hat; aud listet die vorgesehenen Empfänger auf und ist das, was APIs prüfen, um fremde Tokens abzulehnen; exp und nbf begrenzen das Gültigkeitsfenster, und iat protokolliert die Ausstellungszeit. Darüber hinaus fügen Anbieter ihre eigenen hinzu — Rollen, Berechtigungen, email_verified, Mandant — und das Lesen davon ist oft der schnellste Weg, um Autorisierungslogik zu debuggen. Eine Sicherheitsnotiz, die beeinflusst, wie Sie jeden dekodierten Token behandeln: Decoding ist nicht Verifizierung. Die Payload ist base64, nicht verschlüsselt, also kann jeder Claims lesen oder fälschen; nur die Signatur, die von Ihrem Backend gegen den Schlüssel geprüft wird, beweist die Echtheit. Deshalb dekodiert dieses Tool lokal und fragt niemals nach Schlüsseln.
Ein JSON Web Token (JWT) ist ein kompaktes, URL-sicheres Tokenformat, das in RFC 7519 definiert ist. Es besteht aus drei Base64URL-kodierten Teilen, die durch Punkte getrennt sind: header.payload.signature. JWTs werden weitgehend für Authentifizierung und Informationsaustausch verwendet — wenn Sie sich bei einer Webanwendung anmelden, gibt der Server typischerweise ein JWT zurück, das Ihr Browser bei jeder nachfolgenden Anfrage sendet, um Ihre Identität zu beweisen.
Nein. Der JWT Decoder verarbeitet Ihr Token vollständig in Ihrem Browser mit JavaScript Base64-Decoding. Ihr Token — einschließlich beliebiger Sitzungsgeheimnisse, Benutzer-IDs oder PII in der Payload — verlässt niemals Ihr Gerät. Dies ist kritisch für die Sicherheit: Im Gegensatz zu jwt.io und ähnlichen Online-Decodern können Sie hier Produktions-Tokens sicher debuggen.
Der Header enthält typischerweise zwei Felder: "alg" (der Signaturalgorithmus, wie HS256, RS256, ES256 oder HS384) und "typ" (der Tokentyp, immer "JWT"). Der Algorithmus teilt Ihnen mit, wie die Signatur erstellt wurde — HS256 bedeutet einen geteilten Schlüssel, RS256 bedeutet einen privaten RSA-Schlüssel. Nicht übereinstimmende Algorithmen zwischen Header und tatsächlicher Signatur deuten auf ein potenzielles Sicherheitsproblem hin.
Die Payload enthält einen "exp"-Claim (Ablaufzeit) als Unix-Zeitstempel in Sekunden. Der Decoder wandelt dies in ein menschenlesbares Datum um und vergleicht es mit der aktuellen Zeit. Wenn das Token abgelaufen ist, erscheint ein rotes "EXPIRED"-Badge. Die Payload kann auch "iat" (ausgestellt am) und "nbf" (nicht vor) Zeitstempel für die vollständige Lebenszyklusvalidierung enthalten.
Das Tool dekodiert und zeigt die Signatur an, verifiziert sie aber nicht kryptografisch — die Verifizierung erfordert den geheimen Schlüssel (für HMAC) oder den öffentlichen Schlüssel (für RSA/ECDSA), die nur der ausgebende Server besitzt. Das Tool markiert jedoch verdächtige Bedingungen: schwache Algorithmen (none, HS256 mit kurzen Schlüsseln), abgelaufene Tokens und fehlende erforderliche Claims.
Ja. Das Decoding eines JWTs parst die Header- und Payloadabschnitte nur als Base64 — es überträgt Ihr Token nirgendwo hin. Die Verarbeitung läuft vollständig in JavaScript auf Ihrer lokalen Maschine mit null Netzwerkanfragen. Im Gegensatz zu jwt.io (das Analytics von Drittanbietern lädt), hat dieses Tool kein Tracking, keine Cookies und keine externen Abhängigkeiten.
Yes. Decoding a JWT only base64-parses the header and payload sections—it does not transmit your token anywhere. Processing runs entirely in JavaScript on your local machine with zero network requests. Unlike jwt.io (which loads third-party analytics), this tool has no tracking, no cookies, and no external dependencies.
It decodes and displays the header (algorithm, type), payload (claims, expiration, issuer), and signature. For HS256 tokens, you can paste the secret to verify signature integrity locally. It supports RS256, ES256, and HS256 algorithms—the three most common in production OAuth 2.0 and OpenID Connect implementations.
Dieses Tool ist auch unter diesen Aufgaben bekannt — jeder Link öffnet dasselbe Tool mit einem fokussierten Leitfaden:
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.