Парсер JWT
Декодируйте и проверяйте JSON Web Tokens (JWT) с валидацией в реальном времени. Просматривайте заголовок, полезную нагрузку и подпись безопасно в браузере.
Определение: JSON Web Token — это три закодированные в Base64URL части — заголовок, полезная нагрузка, подпись — соединённые точками. Заголовок называет алгоритм подписи, а подпись проверяется ключевым материалом этого алгоритма согласно RFC 7519.
Заголовок
Полезная нагрузка
Подпись
Алгоритм
Недействительный токен
Как пользоваться парсером JWT
Вставить токен
Paste your JWT token in the input area
Автодекодирование
Token automatically decodes on paste
Изучить части
View header, payload, and signature data
Проверить статус
Проверьте действительность токена и срок действия
Понимание токенов JWT
Что такое JWT?
JSON Web Token (JWT) — компактный URL-безопасный способ представления claims, передаваемых между двумя сторонами. Он состоит из трёх частей — заголовка, полезной нагрузки и подписи, — разделённых точками и закодированных в base64url.
- • Header: Contains token type and signing algorithm
- • Payload: Contains claims or user data
- • Signature: Verifies token wasn't tampered with
- • Stateless: No server-side session storage needed
Зачем парсить JWT?
Разбор JWT необходим для отладки проблем аутентификации, проверки содержимого токенов, контроля времени истечения и понимания того, какие данные передаются в токенах.
- • Debugging: Inspect token contents during development
- • Security: Verify token structure and claims
- • Expiration: Check token validity period
- • Development: Understand authentication flow
Справочник стандартных JWT claims
Зарегистрированные имена claim, определённые RFC 7519, которые встречаются почти в каждом payload токена.
| Claim | Полное название | Значение |
|---|---|---|
| iss | Издатель | Кто создал и подписал токен |
| sub | Тема | О ком токен — обычно ID пользователя |
| aud | Аудитория | Для кого предназначен токен (клиент или API) |
| exp | Срок действия | Метка времени Unix, после которой токен должен отклоняться |
| nbf | Не ранее | Метка времени Unix, до которой токен недействителен |
| iat | Выдан в | Метка времени Unix создания токена |
| jti | ID токена JWT | Уникальный идентификатор, полезен для списков отзыва |
Стандартные алгоритмы JWT
- • HS256 (HMAC + SHA-256): Симметричный — один общий секрет используется и для подписи, и для проверки. Просто, но любой, у кого есть секрет, может подделать токены.
- • RS256 (RSA + SHA-256): Асимметричный — закрытый ключ подписывает, открытый проверяет. Стандартный выбор для распределённых систем.
- • ES256 (ECDSA + SHA-256): Асимметричный, как RS256, но с гораздо более короткими подписями — хороший современный выбор по умолчанию.
- • нет: Неподписанный токен. Должен отклоняться любым серьёзным верификатором; исторически источник критических уязвимостей обхода.
Замечания о безопасности
- • Никогда не вставляйте продакшен-токены в неизвестные инструменты. Этот парсер работает целиком в вашем браузере (проверьте: он работает офлайн), но это верно не для каждого сайта.
- • JWT не шифруется. Payload лишь закодирован в base64url — любой, у кого есть токен, может его прочитать. Никогда не храните секреты в claims.
- • Декодирование — это не проверка. Правдоподобная структура ничего не говорит о подписи. Для проверки нужен ключ, который никогда не покидает ваш сервер авторизации.
- • Проверяйте exp на стороне сервера. Отклонение просроченных токенов — задача проверяющей стороны, а не клиента.
Когда разработчики используют парсер JWT
Отладка ответов 401 и 403
Проверьте, действительно ли токен содержал ожидаемые scopes, роли или срок действия, прежде чем винить сервер.
Проверка токенов OAuth и OIDC
Декодируйте id_token или access_token и убедитесь, что iss, aud и sub совпадают с конфигурацией вашего приложения.
Поддержка и устранение неполадок
Проверьте по скриншоту, какие claims фактически получил пользователь, не разворачивая локальных инструментов.
Разбор устройства JWT
Вставьте примеры токенов и посмотрите, как связаны заголовок, полезная нагрузка и подпись.
Мгновенное декодирование
Автоматическое декодирование JWT при вставке с цветовой разметкой секций.
100% конфиденциально
Всё декодирование происходит в вашем браузере. Токены никогда не покидают ваше устройство.
Полностью бесплатно
Без регистрации и ограничений. Разбирайте JWT-токены бесплатно в любое время.
FAQ по парсеру JWT
Безопасно ли вставлять JWT в этот инструмент?
Да. Декодирование полностью выполняется в вашем браузере, без сетевых запросов — можете проверить это, отключив интернет и перезагрузив страницу. И всё же избегайте вставлять продакшн-токены куда попало — это базовое правило гигиены безопасности.
Проверяет ли разбор JWT его подпись?
Нет. Разбор лишь декодирует header и payload из base64url. Для проверки подписи нужен ключ подписи (секрет HMAC или открытый ключ), который есть только у вашего сервера аутентификации.
Почему кто угодно может прочитать payload моего JWT?
Payload в JWT кодируется, а не шифруется. Любой, у кого есть токен, может декодировать его и прочитать claims — так задумано изначально. Никогда не храните секреты или чувствительные данные в payload JWT.
Как узнать, когда истекает токен?
Проверьте claim exp — Unix timestamp, после которого токен должен отклоняться. Этот парсер автоматически подсвечивает статус токена (активен, истёк или ещё не действителен) на основе exp и nbf.
В чём разница между HS256 и RS256?
HS256 симметричен: один общий секрет и подписывает, и проверяет, поэтому любой, кто может проверять токены, может их и подделать. RS256 асимметричен: закрытый ключ подписывает, открытый проверяет — это безопаснее, когда несколько сервисов должны валидировать токены. Используйте RS256 или ES256, если нет веской причины иначе.
В заголовке моего токена указано "alg": "none" — это проблема?
Это значит, что токен не подписан. Структура JWT формально валидна, но проверяющая сторона никогда не должна его принимать: классическая уязвимость JWT — атакующие ставили alg в none, чтобы обойти проверку подписи. Если ваш бэкенд принимает неподписанные токены, считайте это ошибкой безопасности.
Повышайте продуктивность с инструментами анализа и форматирования текста