أداة فك تشفير JWT

رمز JWT (JSON Web Token) هو الطريقة القياسية التي تعتمدها واجهات برمجة تطبيقات الويب الحديثة لتمثيل ادعاءات المصادقة والتفويض. إنه رمز مضغوط ومستقل مكوَّن من ثلاثة أجزاء — ترويسة تصف خوارزمية التوقيع، وحمولة تحمل الادعاءات الفعلية (مثل معرّف المستخدم، والأدوار، وتاريخ الانتهاء)، وتوقيع يتيح للخادم المستقبِل التحقق من أن الرمز لم يتم العبث به. تقرأ أداة فك التشفير هذه الترويسة والحمولة فورًا حتى تتمكن من تشخيص مشكلات المصادقة، أو فحص الادعاءات التي ترسلها واجهة برمجة التطبيقات فعليًا، أو التحقق من موعد انتهاء صلاحية الرمز — كل ذلك دون الحاجة إلى خادم خلفي أو أداة سطر أوامر أو لصق رموز حساسة في خادم تابع لجهة خارجية، لأن كل شيء يعمل محليًا في متصفحك.

الرمز الذي يبدأ بـ eyJhbGciOiJIUzI1NiJ9 يُفَك تشفيره إلى ترويسة {"alg":"HS256","typ":"JWT"} — مما يخبرك أن الرمز موقّع باستخدام HMAC-SHA256.

يفكك المفكك الرمز JWT عند الفاصلين النقطيين ويفك ترميز أول مقطعين بصيغة Base64URL. يخبرك الترويسة بخوارزمية التوقيع (مثل HS256 أو RS256) ونوع الرمز. تحتوي الحمولة على الادعاءات الفعلية — هوية المستخدم والصلاحيات والطوابع الزمنية. يتم تحويل ادعاءات الطوابع الزمنية (exp، iat، nbf) تلقائيًا من عصر يونكس إلى تواريخ مقروءة. إذا أظهر 'exp' تاريخًا في الماضي، فإن الرمز منتهي الصلاحية وسترفضه معظم الخوادم. يحتوي ادعاء 'sub' (الموضوع) عادةً على معرف المستخدم، ويحدد 'iss' (المُصدر) الخادم الذي أنشأ الرمز. تذكر أن فك الترميز ليس تحققًا. تُعرض قسم التوقيع لكن لا يمكن التحقق منه دون المفتاح السري أو العام. الحمولة المفكوكة معلوماتية فقط — لا تثق بها أبدًا كدليل على الهوية دون تحقق الخادم من التوقيع.