QodeCat Menü
Alle Tools
JSON-FormatiererSQL-FormatiererChmod-RechnerJWT-DecoderBase64-KonverterURL-ParserTextvergleichUUID-GeneratorCron-GeneratorZeitstempel-KonverterCSV zu JSONRegex-TesterYAML ↔ JSONJWT-GeneratorJSON zu TypeScript

© 2026 QodeCat Studio

Tool wird geladen…

JWTs sicher dekodieren und prüfen

JSON Web Tokens (JWT) sind ein offenes Industriestandard-Verfahren (RFC 7519), um Claims sicher zwischen zwei Parteien zu übertragen. Mit diesem Tool dekodierst du einen JWT-String und siehst seine drei Bestandteile: Header, Payload und Signatur.

  • Header & Payload dekodieren: Sieh sofort, welche Daten in deinem Token stecken.
  • Lesbare Datumsangaben: Die Zeitstempel „exp“, „iat“ und „nbf“ werden automatisch in lesbare Daten umgewandelt.
  • Ablaufprüfung: Erkenne auf einen Blick, ob ein Token gültig oder abgelaufen ist.
  • Datenschutz zuerst: Wir fragen nicht nach deinem privaten Schlüssel und dein Token verlässt nie den Browser.

Warum QodeCat?

Läuft nur in deinem Browser

Die meisten Online-Decoder senden dein Token an einen Server. Bei Produktions-Tokens ist das ein Sicherheitsrisiko. QodeCat führt die gesamte Dekodierung per JavaScript direkt in deinem Browser aus.

Häufig gestellte Fragen

F. Kann ich ein JWT ohne das Secret lesen?

Ja. JWTs sind kodiert (Base64), nicht verschlüsselt. Die Daten im Payload kann jeder sehen, der das Token hat. Das Secret braucht man nur, um zu prüfen, dass die Daten nicht verändert wurden, nicht zum Lesen.

F. Warum fragt ihr nicht nach meinem geheimen Schlüssel?

Zu deiner Sicherheit. Deinen Signaturschlüssel (HMAC-Secret oder privaten Schlüssel) in eine Website einzufügen, ist gefährlich. Da dieses Tool zum Debuggen des Token-Inhalts gedacht ist, dekodieren wir ihn, ohne die Signatur zu prüfen.

F. Was ist „exp“?

Der Claim „Expiration Time“ (Ablaufzeit) gibt den Zeitpunkt an, ab dem das JWT nicht mehr zur Verarbeitung akzeptiert werden darf.

F. Was ist „iat“?

Der Claim „Issued At“ (Ausstellungszeit) gibt an, wann das JWT ausgestellt wurde.