JWT-decoder

Een JSON Web Token bestaat uit drie delen, gescheiden door punten: een Base64URL-gecodeerde header, een Base64URL-gecodeerde payload en een signature. Deze decoder splitst en decodeert de eerste twee delen direct in je browser, zodat je kunt lezen wat een token daadwerkelijk bevat.

Het meest voorkomende gebruik is het inspecteren van een token die een API heeft teruggegeven: wie het heeft uitgegeven (iss), wanneer het verloopt (exp), welke rechten het bevat (scope of roles) en of het al is verlopen.

De tool neemt de header- en payload-segmenten en decodeert hun Base64URL-inhoud terug naar leesbare JSON. Er wordt niets ergens naartoe gestuurd: het splitsen en decoderen gebeurt lokaal op het moment dat je een token plakt.

De verlooptijd wordt getoond in leesbare lokale tijd, niet als ruwe Unix-tijdstempel, zodat je in een oogopslag ziet of de token nog geldig is. Hetzelfde geldt voor andere tijd-claims zoals iat en nbf, die datums worden die je echt kunt interpreteren.

Deze tool decodeert en toont, hij verifieert de signature niet tegen een geheime sleutel. Iedereen kan een JWT-payload lezen zonder sleutel, want alleen de signature is beschermd, niet de inhoud.

Voor signatureverificatie heb je de ondertekeningssleutel of publieke sleutel nodig, die je nooit in een browsergebaseerde tool moet invoeren. Plak hier geen geheimen.

De token verlaat nooit je apparaat. Al het decoderen draait in je browser, dus niets van wat je plakt wordt geüpload of opgeslagen.