JWT Debugger декодер токенов онлайн
Безопасный разбор Header и Payload токенов JWT с проверкой срока жизни exp и расшифровкой клеймов без отправки на сервер.
Клиентский инспектор и валидатор структуры токенов JSON Web Token (JWT) по стандарту RFC 7519 без передачи секретов на сервер. Инструмент мгновенно расшифровывает заголовок (Header) и полезную нагрузку (Payload), проверяет срок действия токена по клейму exp и отображает статус активности авторизационной сессии.
HEADER (Заголовок)
Тип и алгоритм{}
PAYLOAD (Полезная нагрузка)
Данные и клеймы (Claims){}
Конфиденциальность при проверке токенов
В отличие от публичных онлайн-декодеров, Utilora.ru производит декодирование структуры JWT на 100% локально в JavaScript без отправки токена по сети. Секретные ключи API, токены доступа пользователей (Bearer tokens) и идентификаторы не сохраняются и не логируются.
Как пользоваться
Вставка токена JWT
Скопируйте Bearer-токен авторизации из консоли браузера или сетевого запроса в поле ввода.
Автоматический парсинг секций
Инструмент моментально разделит токен по точкам и декодирует части Header и Payload.
Проверка клеймов и экспирации
Оцените статус токена по динамическому баннеру: активен ли токен либо время его жизни (exp) уже истекло.
Копирование полезной нагрузки
Заберите чистый отформатированный JSON полезной нагрузки кнопкой копирования для тестов API.
Формулы, правила и стандарты
Структура: base64url(Header) + '.' + base64url(Payload) + '.' + base64url(Signature).
Декодирование Base64URL: замена '-' на '+', '_' на '/', дополнение символами '=' до длины, кратной 4, и декодирование в UTF-8 строку.
Стандартные клеймы (Claims): sub (идентификатор субъекта), iss (эмитент), exp (время истечения в секундах Epoch), iat (время выпуска), nbf (не использовать до).
Формула валидации срока жизни: isValid = (payload.exp > Math.floor(Date.now() / 1000)).
Практические примеры
Пример 1: Декодирование активного токена разработчика с алгоритмом HS256
Расшифровка полезных данных авторизационной сессии пользователя:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyLTQ4OTEyIiwibmFtZSI6ItCQ0LvQtdC60YHQtdC5INCh0LzQuNGA0L3QvtCyIiwicm9sZSI6ImRldmVsb3BlciIsImV4cCI6MTg5MzQ1NjAwMH0.mockSignature
Декодированный Header:
{
"alg": "HS256",
"typ": "JWT"
}
Декодированный Payload:
{
"sub": "user-48912",
"name": "Алексей Смирнов",
"role": "developer",
"exp": 1893456000
}
Статус: Токен активен (срок действия до 2030 года).
Пример 2: Обнаружение просроченного токена с истекшим сроком exp
Автоматическое выявление недействительной сессии по клейму времени:
Результат проверки:
✕ Срок действия токена истёк!
Токен стал недействителен: 14 июля 2017 г. в 05:40
Рекомендация: обновите токен через эндпоинт Refresh Token вашего сервера авторизации.
Частые ошибки и нюансы
Base64URL — это не шифрование
Токены JWT по умолчанию лишь подписаны цифровой подписью, но не зашифрованы. Любой человек может декодировать Payload и прочитать все вложенные сведения без знания секрета.
Недопустимость хранения секретов в Payload
Категорически запрещено помещать в полезную нагрузку JWT пароли от аккаунтов, CVV-коды карт или приватные ключи API, так как они доступны клиенту.
Проверка подписи только на сервере
Верификацию подписи токена с симметричным секретом (HS256) производит только сервер. Проверка секрета на клиенте скомпрометировала бы секретный ключ бэкенда.
Синхронизация серверных часов (Clock Skew)
При проверке полей exp и nbf бэкенды обычно закладывают допустимое расхождение часов серверов (обычно от 30 до 60 секунд), чтобы предотвратить ложные отказы.
Частые вопросы (FAQ)
Да, отладчик Utilora производит декодирование исключительно в браузере с помощью локального алгоритма Base64URL. Токены авторизации не отправляются в сеть, не сохраняются на дисках и не передаются аналитическим системам, что гарантирует сохранность сессий.
Нет, стандартные токены JWT (JWS — JSON Web Signature) закодированы открытым алгоритмом Base64URL, а не зашифрованы. Подпись токена гарантирует лишь то, что данные не были подделаны после выпуска, но прочитать их может любой желающий. Для шифрования применяется отдельный стандарт JWE.
Токен состоит из трёх частей, разделённых точками: Заголовок (Header) с типом токена и алгоритмом подписи, Полезная нагрузка (Payload) с пользовательскими данными и клеймами, и Цифровая подпись (Signature), сформированная с использованием секретного ключа.
Проверка подписи алгоритма HS256 требует наличия секретного ключа (Secret Key). Если разработчик введёт свой боевой секретный ключ в браузер, он скомпрометирует всю систему безопасности бэкенда. Проверка подписи должна выполняться строго доверенным сервером.
Клейм sub (Subject) содержит уникальный ID пользователя; iss (Issuer) указывает сервис, выдавший токен; iat (Issued At) фиксирует точное время выпуска токена в секундах Unix; exp (Expiration Time) указывает момент времени, после которого токен считается недействительным.
Истечение срока действия по клейму exp означает, что текущая авторизационная сессия завершена. Для продолжения работы приложение должно отправить запрос на обновление сессии с использованием долгоживущего Refresh Token либо перенаправить пользователя на форму повторного входа.
Похожие инструменты
Base64 Кодер / Декодер
Кодирование текста и файлов в Base64 и обратное декодирование с корректной поддержкой UTF-8 кириллицы.
Открыть ▸Unix Timestamp
Двусторонняя конвертация Unix Epoch Timestamp в дату (MSK, UTC, ISO 8601) и обратно с живыми системными часами.
Открыть ▸Хэш-генератор
Мгновенное вычисление криптографических хэшей MD5 (RFC 1321), SHA-1, SHA-256 и SHA-512 в браузере с аппаратным ускорением Web Crypto API.
Открыть ▸JSON Validator
Проверка синтаксиса JSON на соответствие спецификации RFC 8259 с точным указанием позиции ошибки.
Открыть ▸Руководства по теме
Архитектура JWT: спецификация RFC 7519, клеймы, алгоритмы подписи HS256 vs RS256 и безопасность
JSON Web Token (JWT, RFC 7519) — стандарт создания компактных, самодостаточных токенов для аутентификации пользователей в распределённых веб-приложениях и микросервисах. В этой статье разбираем устройство JWT, разницу между симметричной (HS256) и асимметричной (RS256) подписью, а также главные ошибки безопасности.
Читать руководствоКак работает Base64 под капотом: битовые сдвиги, паддинг и оверхед 33%
Кодирование Base64 используется повсюду: от передачи токенов авторизации и вложений в email до встраивания иконок в CSS. Разбираем алгоритмическую математику преобразования 8-битных байтов в 6-битные группы, правила паддинга и физические причины оверхеда ровно в 33.3%.
Читать руководствоУстойчивость хэш-функций к коллизиям: почему MD5 и SHA-1 взломаны
Хэш-функция преобразует массив данных произвольного размера в строку фиксированной длины. Но что происходит, когда двум совершенно разным файлам соответствует одинаковый хэш? Разбираем механику коллизий, атаку SHAttered от Google и причины, по которым современный веб полностью перешёл на семейство SHA-2 и SHA-3.
Читать руководство