Is it safe to paste a JWT into this tool?

Yes. Decoding runs entirely in your browser with no network calls — you can verify this by disconnecting from the internet and reloading the page. Even so, avoid pasting production tokens anywhere as general hygiene.

Does parsing a JWT verify its signature?

No. Parsing only base64url-decodes the header and payload. Verifying the signature requires the signing key (HMAC secret or public key), which only your auth server holds.

Why can anyone read my JWT payload?

JWT payloads are encoded, not encrypted. Anyone holding the token can decode and read the claims — that is by design. Never store secrets or sensitive data inside a JWT payload.

How do I know when a token expires?

Check the exp claim — a Unix timestamp after which the token must be rejected. This parser highlights token status (active, expired, or not yet valid) based on exp and nbf automatically.

Парсер JWT

Декодируйте и проверяйте JSON Web Tokens (JWT) с валидацией в реальном времени. Просматривайте заголовок, полезную нагрузку и подпись безопасно в браузере.

Enter JWT Token

Заголовок

Полезная нагрузка

Подпись

Алгоритм

Signature not verified

How to Use the JWT Parser

Paste Token

Paste your JWT token in the input area

Auto Decode

Token automatically decodes on paste

Inspect Parts

View header, payload, and signature data

Check Status

Verify token validity and expiration time

Understanding JWT Tokens

Что такое JWT?

JSON Web Token (JWT) is a compact, URL-safe means of representing claims to be transferred between two parties. It consists of three parts: header, payload, and signature, separated by dots and base64url encoded.

• Header: Contains token type and signing algorithm
• Payload: Contains claims or user data
• Signature: Verifies token wasn't tampered with
• Stateless: No server-side session storage needed

Why Parse JWTs?

JWT parsing is essential for debugging authentication issues, verifying token contents, checking expiration times, and understanding what data is being transmitted in tokens.

• Debugging: Inspect token contents during development
• Security: Verify token structure and claims
• Expiration: Check token validity period
• Development: Understand authentication flow

Справочник стандартных JWT claims

Зарегистрированные имена claim, определённые RFC 7519, которые встречаются почти в каждом payload токена.

Claim	Полное название	Значение
iss	Издатель	Кто создал и подписал токен
sub	Тема	О ком токен — обычно ID пользователя
aud	Аудитория	Для кого предназначен токен (клиент или API)
exp	Срок действия	Метка времени Unix, после которой токен должен отклоняться
nbf	Не ранее	Метка времени Unix, до которой токен недействителен
iat	Выдан в	Метка времени Unix создания токена
jti	ID токена JWT	Уникальный идентификатор, полезен для списков отзыва

Стандартные алгоритмы JWT

• HS256 (HMAC + SHA-256): Симметричный — один общий секрет используется и для подписи, и для проверки. Просто, но любой, у кого есть секрет, может подделать токены.
• RS256 (RSA + SHA-256): Асимметричный — закрытый ключ подписывает, открытый проверяет. Стандартный выбор для распределённых систем.
• ES256 (ECDSA + SHA-256): Асимметричный, как RS256, но с гораздо более короткими подписями — хороший современный выбор по умолчанию.
• нет: Неподписанный токен. Должен отклоняться любым серьёзным верификатором; исторически источник критических уязвимостей обхода.

Замечания о безопасности

• Никогда не вставляйте продакшен-токены в неизвестные инструменты. Этот парсер работает целиком в вашем браузере (проверьте: он работает офлайн), но это верно не для каждого сайта.
• JWT не шифруется. Payload лишь закодирован в base64url — любой, у кого есть токен, может его прочитать. Никогда не храните секреты в claims.
• Декодирование — это не проверка. Правдоподобная структура ничего не говорит о подписи. Для проверки нужен ключ, который никогда не покидает ваш сервер авторизации.
• Проверяйте exp на стороне сервера. Отклонение просроченных токенов — задача проверяющей стороны, а не клиента.

Instant Decoding

Auto-decode JWT on paste with color-coded sections.

100% конфиденциально

All decoding happens in your browser. Tokens never leave your device.

Полностью бесплатно

No registration or limits. Parse JWT tokens freely anytime.

FAQ по парсеру JWT

Безопасно ли вставлять JWT в этот инструмент?

Да. Декодирование полностью выполняется в вашем браузере, без сетевых запросов — можете проверить это, отключив интернет и перезагрузив страницу. И всё же избегайте вставлять продакшн-токены куда попало — это базовое правило гигиены безопасности.

Проверяет ли разбор JWT его подпись?

Нет. Разбор лишь декодирует header и payload из base64url. Для проверки подписи нужен ключ подписи (секрет HMAC или открытый ключ), который есть только у вашего сервера аутентификации.

Почему кто угодно может прочитать payload моего JWT?

Payload в JWT кодируется, а не шифруется. Любой, у кого есть токен, может декодировать его и прочитать claims — так задумано изначально. Никогда не храните секреты или чувствительные данные в payload JWT.

Как узнать, когда истекает токен?

Проверьте claim exp — Unix timestamp, после которого токен должен отклоняться. Этот парсер автоматически подсвечивает статус токена (активен, истёк или ещё не действителен) на основе exp и nbf.