JWT Decoder

Wat is een JWT (JSON Web Token)?

Een JSON Web Token (JWT) is een compact, URL-veilig tokenformaat gedefinieerd in RFC 7519. Het codeert een set claims als een JSON-object, ondertekent dit vervolgens — en versleutelt het optioneel — zodat de ontvanger kan verifiëren dat de gegevens niet zijn gemanipuleerd. JWT's zijn de de facto standaard voor staatloze authenticatie in REST API's, single-sign-on-systemen en microservice-autorisatie.

JWT-anatomie: Header · Payload · Signature

Elke JWT bestaat uit drie base64url-gecodeerde segmenten gescheiden door punten. De header en payload zijn gewone JSON — leesbaar voor iedereen — terwijl de signature een cryptografische waarde is die alleen geverifieerd kan worden met de juiste sleutel.

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub":  "user123",
  "name": "Alice",
  "role": "admin",
  "iat":  1717200000,
  "exp":  1717203600
}

Waarom een JWT-decoder gebruiken?

Ruwe JWT's zien eruit als willekeurige tekst. Dit hulpmiddel geeft de header en payload direct weer als geformatteerde JSON, zodat u claims kunt inspecteren, vervaltijden kunt controleren en algoritmerekeuzes kunt controleren zonder één regel code te schrijven.

Standaard JWT-claims referentie

RFC 7519 definieert zeven geregistreerde claimnamen. Deze zijn niet verplicht, maar hun gebruik wordt sterk aanbevolen voor interoperabiliteit. U kunt aangepaste claims toevoegen aan de payload.

JWT-ondertekeningsalgoritmen

De alg-headerclaim geeft aan welk algoritme het token heeft ondertekend. De keuze beïnvloedt beveiliging, prestaties en of diensten van derden tokens kunnen verifiëren zonder de privésleutel.

Beveiligingsoverwegingen

Een JWT decoderen is altijd veilig. Een JWT vertrouwen zonder goede handtekeningverificatie is dat niet. Houd deze regels in gedachten wanneer u tokens in uw applicatie gebruikt.

Veelvoorkomende gebruiksscenario's

JWT decoderen in code

De header en payload zijn base64url-gecodeerd — keer de codering gewoon om. Base64url vervangt + door - en / door _, en laat = opvulling weg. Alleen de signature heeft de geheime sleutel nodig.

function decodeJWT(token) {
  const [, payload] = token.split('.')
  const json = atob(payload.replace(/-/g, '+').replace(/_/g, '/'))
  return JSON.parse(json)
}

const [, payload] = token.split('.')
const decoded = JSON.parse(
  Buffer.from(payload, 'base64url').toString()
)

import base64, json

def decode_jwt(token):
    payload = token.split('.')[1]
    padding = '=' * (-len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload + padding))

TOKEN="eyJhbGc..."
echo $TOKEN | cut -d. -f2 | base64 -d 2>/dev/null | jq .

Veelgestelde vragen