Dekoder JWT

Wklej dowolny JWT, aby natychmiast zdekodować jego nagłówek i payload — sprawdź claimy, czas wygaśnięcia i podpis, nie opuszczając przeglądarki i nie wysyłając danych nigdzie.

Czy to narzędzie Ci pomogło?

Czym jest Dekoder JWT?

JWT (JSON Web Token) to standardowy sposób, w jaki nowoczesne API webowe reprezentują claimy uwierzytelniania i autoryzacji. Jest to zwięzły, samowystarczalny token złożony z trzech części — nagłówka opisującego algorytm podpisywania, payloadu zawierającego rzeczywiste claimy (takie jak ID użytkownika, role i czas wygaśnięcia) oraz podpisu, który pozwala odbierającemu serwerowi zweryfikować, że token nie został zmanipulowany. Ten dekoder odczytuje nagłówek i payload natychmiast, dzięki czemu możesz debugować problemy z uwierzytelnianiem, sprawdzać, jakie claimy faktycznie wysyła dane API, lub sprawdzać, kiedy token wygasa — wszystko to bez potrzeby backendu, narzędzia CLI ani wklejania wrażliwych tokenów do serwera osób trzecich, ponieważ wszystko działa lokalnie w Twojej przeglądarce.

Kiedy używać tego kalkulatora

Debugging why an API rejects a token by inspecting its claims and expiration time
Checking a token's expiration time during a support investigation or incident response
Weryfikacja, że dostawca SSO lub OAuth wystawia roszczenia oczekiwane przez Twoją aplikację.
Learning how JWTs are structured for interview preparation or security coursework
Inspecting a token captured from browser dev tools or server logs to understand its contents
Comparing the header algorithm between tokens to debug algorithm-mismatch authentication failures

Kroki:

Wklej swój JWT do pola wprowadzania lub kliknij "Wczytaj Przykład", aby wypróbować jeden.
Nagłówek i payload są dekodowane automatycznie w miarę pisania.
Przejrzyj claimy takie jak iss, sub, exp i iat w czytelnej formie.
Claimy z znacznikiem czasu (exp, iat, nbf) są automatycznie konwertowane na czytelne daty.

Wzór

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature) Dekodowanie: podziel po ".", zdekoduj base64Url pierwsze dwie części, sparsuj jako JSON. Weryfikacja (nie wykonywana tutaj): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Przypadki użycia

Debugowanie, dlaczego API odrzuca token, poprzez sprawdzenie jego claimów
Sprawdzanie czasu wygaśnięcia tokenu podczas dochodzenia wsparcia technicznego
Weryfikacja, czy dostawca SSO lub OAuth wystawia oczekiwane claimy
Nauka struktury JWT do przygotowania na rozmowę kwalifikacyjną lub zajęcia
Szybkie sprawdzenie tokenu wklejonego z narzędzi deweloperskich przeglądarki lub logów serwera

Kluczowe korzyści

Dekoduj dowolny JWT natychmiast bez backendu czy narzędzia CLI
Wszystko działa po stronie klienta — tokeny nigdy nie są wysyłane na serwer
Automatycznie konwertuje claimy z znacznikiem czasu na czytelne daty
Darmowe, bez rejestracji, działa z każdym JWT niezależnie od algorytmu

Wskazówki

Podczas debugowania błędu "unauthorized" zawsze najpierw sprawdź 'exp' — wygasły token to najczęstsza przyczyna
Porównaj 'alg' w nagłówku z tym, czego oczekuje Twój backend, aby wychwycić błędy niezgodności algorytmu
Nigdy nie ufaj zdekodowanemu payloadowi jako dowodowi tożsamości bez weryfikacji podpisu po stronie serwera
Używaj krótkotrwałych tokenów z tokenami odświeżania zamiast długotrwałych JWT, aby ograniczyć ekspozycję w razie wycieku

Częste błędy

Zakładanie, że zdekodowany JWT jest zweryfikowanym JWT — dekodowanie tylko odczytuje treść, nie potwierdza autentyczności
Przechowywanie wrażliwych danych (haseł, sekretów) w payloadzie, zapominając, że jest on czytelny dla każdego
Wklejanie tokenów produkcyjnych do niezaufanych dekoderów online
Mylenie 'exp' (wygaśnięcie) z 'iat' (wystawiono o) podczas debugowania problemów z czasem życia tokenu

Kluczowe pojęcia

Claim: Informacja stwierdzana o podmiocie, taka jak ID użytkownika lub rola
Nagłówek: Pierwszy segment JWT, określający algorytm podpisywania i typ tokenu
Payload: Drugi segment JWT, zawierający rzeczywiste claimy
Podpis: Trzeci segment JWT, używany do weryfikacji, że token nie został zmieniony

Powiązane pojęcia

[object Object]
[object Object]
[object Object]
[object Object]
[object Object]

Przykład

Token zaczynający się od eyJhbGciOiJIUzI1NiJ9 dekoduje się do nagłówka {"alg":"HS256","typ":"JWT"} — co oznacza, że token jest podpisany za pomocą HMAC-SHA256.

Interpretacja wyników

Dekoder rozdziela JWT na dwóch separatorach kropkowych i dekoduje pierwsze dwa segmenty Base64URL. Nagłówek informuje o algorytmie podpisywania (np. HS256 lub RS256) i typie tokenu. Ładunek zawiera właściwe claims — tożsamość użytkownika, uprawnienia i znaczniki czasu. Claims czasowe (exp, iat, nbf) są automatycznie konwertowane z epoki Uniksa na czytelne daty. Jeśli 'exp' pokazuje datę z przeszłości, token wygasł i większość serwerów go odrzuci. Claim 'sub' (subject) zwykle zawiera identyfikator użytkownika, a 'iss' (issuer) identyfikuje serwer, który utworzył token. Pamiętaj, że dekodowanie to nie weryfikacja. Sekcja podpisu jest wyświetlana, ale nie można jej zweryfikować bez klucza tajnego lub publicznego. Zdekodowany ładunek ma charakter wyłącznie informacyjny — nigdy nie traktuj go jako dowodu tożsamości bez weryfikacji podpisu po stronie serwera.

Najczęściej Zadawane Pytania

Czym jest JWT?

JSON Web Token (JWT) to zwięzły, bezpieczny dla URL sposób reprezentowania claimów między dwiema stronami. Składa się z trzech zakodowanych w Base64URL części oddzielonych kropkami: nagłówka, payloadu i podpisu.

Czy bezpiecznie jest wkleić mój JWT do tego narzędzia?

Dekodowanie odbywa się całkowicie w Twojej przeglądarce za pomocą JavaScript — token nigdy nie jest wysyłany na żaden serwer. Mimo to traktuj JWT jak hasła: unikaj wklejania tokenów z systemów produkcyjnych do jakichkolwiek narzędzi online, w tym tego.

Dlaczego to narzędzie nie może zweryfikować podpisu?

Weryfikacja podpisu JWT wymaga klucza tajnego (dla algorytmów HMAC) lub klucza publicznego (dla algorytmów RSA/ECDSA), który powinien posiadać wyłącznie serwer wystawiający token. To narzędzie dekoduje jedynie czytelny nagłówek i payload — nigdy nie ma dostępu do tego klucza.

Co oznacza claim 'exp'?

'exp' (Expiration Time) to znacznik czasu Unix wskazujący, kiedy token przestaje być ważny. To narzędzie automatycznie konwertuje go na czytelną datę, dzięki czemu możesz szybko sprawdzić, czy token wygasł.

What is a JWT?

A JSON Web Token (JWT) is a compact, URL-safe way to represent claims between two parties. It consists of three Base64URL-encoded parts separated by dots: a header, a payload, and a signature.

Is it safe to paste my JWT into this tool?

Typowe algorytmy obejmują HS256 (HMAC-SHA256, symetryczny), RS256 (RSA-SHA256, asymetryczny) i ES256 (ECDSA). Pole 'alg' w nagłówku określa algorytm. Najczęściej dla interfejsów API web używane są HS256 lub RS256.

Why can't this tool verify the signature?

'iat' (Issued At) to moment utworzenia tokena. 'nbf' (Not Before) to moment, od którego token staje się ważny. Jeśli 'nbf' jest w przyszłości, token powinien zostać odrzucony, nawet jeśli jeszcze nie wygasł.

What does the 'exp' claim mean?

Nagłówek i payload są tylko kodowane Base64URL, nie szyfrowane. Każdy może je odczytać. Nigdy nie przechowuj haseł, tajemnic ani wrażliwych danych osobowych w payloadzie tokena JWT. Umieszczaj tylko niekrytyczne roszczenia, takie jak ID użytkownika, role i znaczniki czasu.

Jak długo zwykle ważne są tokeny JWT?

Tokeny dostępu zwykle działają 15–60 minut. Tokeny odświeżania działają od kilku godzin do kilku dni. Krótkotrwałe tokeny dostępu z długotrwałymi tokenami odświeżania równoważą bezpieczeństwo i wygodę użytkownika.

What algorithms can a JWT use?

Token odświeżania to długotrwały token służący do uzyskiwania nowych tokenów dostępu bez wymagania ponownego uwierzytelnienia użytkownika. Gdy krótkotrwały token dostępu wygaśnie, klient wysyła token odświeżania, aby uzyskać nowy token dostępu.

Jak skopiować zdekodowane roszczenia?

Zdekodowany nagłówek i payload są wyświetlane jako sformatowany JSON. Możesz skopiować cały zdekodowany wynik lub poszczególne wartości roszczeń do celów debugowania lub dokumentacji.

Powiązane narzędzia

Odkryj więcej narzędzi

Kalkulator Proporcji

Kalkulator Pasma

Kalkulator Czasu Pobierania

Kalkulator Kosztów Hostingu Cloud

Kalkulator Kosztów CDN

Kalkulator Monetyzacji API

Czym jest Dekoder JWT?

Kiedy używać tego kalkulatora

Debugging why an API rejects a token by inspecting its claims and expiration time

Checking a token's expiration time during a support investigation or incident response

Weryfikacja, że dostawca SSO lub OAuth wystawia roszczenia oczekiwane przez Twoją aplikację.

Learning how JWTs are structured for interview preparation or security coursework

Inspecting a token captured from browser dev tools or server logs to understand its contents

Comparing the header algorithm between tokens to debug algorithm-mismatch authentication failures

Kroki:

Wklej swój JWT do pola wprowadzania lub kliknij "Wczytaj Przykład", aby wypróbować jeden.

Nagłówek i payload są dekodowane automatycznie w miarę pisania.

Przejrzyj claimy takie jak iss, sub, exp i iat w czytelnej formie.

Claimy z znacznikiem czasu (exp, iat, nbf) są automatycznie konwertowane na czytelne daty.

Przypadki użycia

Debugowanie, dlaczego API odrzuca token, poprzez sprawdzenie jego claimów

Sprawdzanie czasu wygaśnięcia tokenu podczas dochodzenia wsparcia technicznego

Weryfikacja, czy dostawca SSO lub OAuth wystawia oczekiwane claimy

Nauka struktury JWT do przygotowania na rozmowę kwalifikacyjną lub zajęcia

Szybkie sprawdzenie tokenu wklejonego z narzędzi deweloperskich przeglądarki lub logów serwera

Wskazówki

Podczas debugowania błędu "unauthorized" zawsze najpierw sprawdź 'exp' — wygasły token to najczęstsza przyczyna

Porównaj 'alg' w nagłówku z tym, czego oczekuje Twój backend, aby wychwycić błędy niezgodności algorytmu

Nigdy nie ufaj zdekodowanemu payloadowi jako dowodowi tożsamości bez weryfikacji podpisu po stronie serwera

Używaj krótkotrwałych tokenów z tokenami odświeżania zamiast długotrwałych JWT, aby ograniczyć ekspozycję w razie wycieku

Częste błędy

Zakładanie, że zdekodowany JWT jest zweryfikowanym JWT — dekodowanie tylko odczytuje treść, nie potwierdza autentyczności

Przechowywanie wrażliwych danych (haseł, sekretów) w payloadzie, zapominając, że jest on czytelny dla każdego

Wklejanie tokenów produkcyjnych do niezaufanych dekoderów online

Mylenie 'exp' (wygaśnięcie) z 'iat' (wystawiono o) podczas debugowania problemów z czasem życia tokenu

Kluczowe pojęcia

Claim: Informacja stwierdzana o podmiocie, taka jak ID użytkownika lub rola

Nagłówek: Pierwszy segment JWT, określający algorytm podpisywania i typ tokenu

Payload: Drugi segment JWT, zawierający rzeczywiste claimy

Podpis: Trzeci segment JWT, używany do weryfikacji, że token nie został zmieniony

Interpretacja wyników

Najczęściej Zadawane Pytania

Czym jest JWT?

Czy bezpiecznie jest wkleić mój JWT do tego narzędzia?

Dlaczego to narzędzie nie może zweryfikować podpisu?

Co oznacza claim 'exp'?

What is a JWT?

A JSON Web Token (JWT) is a compact, URL-safe way to represent claims between two parties. It consists of three Base64URL-encoded parts separated by dots: a header, a payload, and a signature.

Is it safe to paste my JWT into this tool?

Why can't this tool verify the signature?

What does the 'exp' claim mean?

Jak długo zwykle ważne są tokeny JWT?

What algorithms can a JWT use?

Jak skopiować zdekodowane roszczenia?

Zdekodowany nagłówek i payload są wyświetlane jako sformatowany JSON. Możesz skopiować cały zdekodowany wynik lub poszczególne wartości roszczeń do celów debugowania lub dokumentacji.