JWT Çözücü

Header ve payload'ını anında çözmek için herhangi bir JWT yapıştırın — claim'leri, son kullanma zamanlarını ve imzayı tarayıcınızdan çıkmadan veya hiçbir yere veri göndermeden inceleyin.

JWT Çözücü nedir?

JWT (JSON Web Token), modern web API'lerinin kimlik doğrulama ve yetkilendirme claim'lerini temsil etmesinin standart yoludur. İmzalama algoritmasını tanımlayan bir header, gerçek claim'leri (kullanıcı kimliği, roller ve son kullanma tarihi gibi) taşıyan bir payload ve alıcı sunucunun token'ın değiştirilmediğini doğrulamasını sağlayan bir imzadan oluşan, kompakt ve kendi kendine yeten bir token'dır.

Bu çözücü, header ve payload'ı anında okuyarak kimlik doğrulama sorunlarını gidermenize, bir API'nin gerçekte hangi claim'leri gönderdiğini incelemenize veya bir token'ın ne zaman süresi dolduğunu kontrol etmenize olanak tanır — tüm bunlar bir backend, bir CLI aracı gerekmeden veya hassas token'ları üçüncü taraf bir sunucuya yapıştırmadan yapılır, çünkü her şey tarayıcınızda yerel olarak çalışır.

Formül

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Çözme: "." karakterine göre bölün, ilk iki bölümü base64Url ile çözün, JSON olarak ayrıştırın.

Doğrulama (burada yapılmaz): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Nasıl Hesaplanır

JWT'nizi giriş kutusuna yapıştırın veya denemek için "Örnek Yükle"ye tıklayın.
Header ve payload, siz yazarken otomatik olarak çözülür.
iss, sub, exp ve iat gibi claim'leri düz okunabilir biçimde inceleyin.
Zaman damgası claim'leri (exp, iat, nbf) otomatik olarak okunabilir tarihlere dönüştürülür.

Örnek

eyJhbGciOiJIUzI1NiJ9 ile başlayan bir token, {"alg":"HS256","typ":"JWT"} header'ına çözülür — bu da token'ın HMAC-SHA256 ile imzalandığını gösterir.

Temel Faydalar

Backend veya CLI aracı olmadan herhangi bir JWT'yi anında çözer
Her şey istemci tarafında çalışır — token'lar hiçbir zaman bir sunucuya gönderilmez
Zaman damgası claim'lerini otomatik olarak okunabilir tarihlere dönüştürür
Ücretsiz, kayıt gerektirmez, algoritmadan bağımsız olarak her JWT ile çalışır

Kaçınılması Gereken Yaygın Hatalar

Çözülmüş bir JWT'nin doğrulanmış bir JWT olduğunu varsaymak — çözme yalnızca içeriği okur, gerçekliğini doğrulamaz
Payload'ın herkes tarafından okunabilir olduğunu unutup hassas verileri (şifreler, sırlar) payload içinde saklamak
Üretim token'larını güvenilmeyen çevrimiçi çözücülere yapıştırmak
Token ömrü sorunlarında hata ayıklarken 'exp' (son kullanma) ile 'iat' (verilme zamanı) arasında kafa karıştırmak

Uzman İpuçları

Bir "yetkisiz" hatasında hata ayıklarken önce her zaman 'exp' değerini kontrol edin — süresi dolmuş bir token en yaygın nedendir
Algoritma uyuşmazlığı hatalarını yakalamak için header'daki 'alg' değerini backend'inizin beklediği değerle karşılaştırın
Sunucu tarafında imzayı doğrulamadan çözülmüş bir payload'a kimlik kanıtı olarak asla güvenmeyin
Bir token sızarsa maruziyeti sınırlamak için uzun ömürlü JWT'ler yerine yenileme token'larıyla birlikte kısa ömürlü token'lar kullanın

Anahtar Terimler Açıklandı

Claim: Bir kullanıcı kimliği veya rol gibi bir konu hakkında iddia edilen bilgi parçası
Header: İmzalama algoritmasını ve token türünü belirten ilk JWT bölümü
Payload: Gerçek claim'leri içeren ikinci JWT bölümü
Signature (İmza): Token'ın değiştirilmediğini doğrulamak için kullanılan üçüncü JWT bölümü

Yaygın Kullanım Alanları

Bir API'nin bir token'ı neden reddettiğini claim'lerini inceleyerek hata ayıklama
Bir destek incelemesi sırasında bir token'ın son kullanma zamanını kontrol etme
Bir SSO veya OAuth sağlayıcısının beklediğiniz claim'leri verdiğini doğrulama
Mülakat hazırlığı veya ders çalışması için JWT'lerin nasıl yapılandırıldığını öğrenme
Tarayıcı geliştirici araçlarından veya sunucu günlüklerinden yapıştırılan bir token'ı hızlıca inceleme

Sıkça Sorulan Sorular

JWT nedir?

JSON Web Token (JWT), iki taraf arasındaki claim'leri temsil etmenin kompakt ve URL güvenli bir yoludur. Noktalarla ayrılmış Base64URL kodlu üç bölümden oluşur: bir header, bir payload ve bir imza.

JWT'mi bu araca yapıştırmak güvenli mi?

Çözme işlemi tamamen tarayıcınızda JavaScript kullanılarak gerçekleşir — token hiçbir sunucuya gönderilmez. Yine de JWT'leri şifre gibi düşünün: üretim sistemlerinden alınan token'ları bu dahil hiçbir çevrimiçi araca yapıştırmaktan kaçının.

Bu araç neden imzayı doğrulayamıyor?

Bir JWT'nin imzasını doğrulamak, yalnızca token'ı veren sunucunun sahip olması gereken gizli anahtarı (HMAC algoritmaları için) veya genel anahtarı (RSA/ECDSA algoritmaları için) gerektirir. Bu araç yalnızca okunabilir header ve payload'ı çözer — bu anahtara asla erişimi olmaz.

'exp' claim'i ne anlama gelir?

'exp' (Expiration Time), token'ın ne zaman geçerliliğini yitireceğini belirten bir Unix zaman damgasıdır. Bu araç, bir token'ın süresinin dolup dolmadığını hızlıca kontrol edebilmeniz için bunu otomatik olarak okunabilir bir tarihe dönüştürür.