So verwenden Sie JWT-Decoder: Vollständiger Guide (2026)

Was ist JWT-Decoder?

Ein JWT-Decoder teilt ein JSON Web Token in seine drei Base64URL-Teile, damit Sie Header, Payload-Claims und Signatur lesen koennen. Der kostenlose JWT-Decoder von ToolsMinify formatiert das JSON im Browser und prueft die Signatur in Decode nie. Der Encode-Tab derselben Seite signiert kompakte HS256-Testtoken mit Web Crypto - das Secret verlaesst das Geraet nicht. Nichts, was Sie einfuegen, wird hochgeladen.

JWT-Header, Payload und Signatur im Browser decodieren. HS256-Testtoken auf derselben Seite encodieren. Kostenloser JSON-Web-Token-Decoder - nichts wird hochgeladen.

Jetzt ausprobieren

Öffnen Sie den kostenlosen JWT-Decoder und folgen Sie den Schritten unten - kein Download nötig.

Warum JWT-Decoder nutzen?

Header, Payload und Signatur in einer Ansicht pruefen
Formatiertes JSON mit einem Kopier-Button pro Abschnitt
Optionales Bearer-Praefix wird automatisch entfernt
Klare Fehler bei falscher Struktur, Base64URL oder JSON
Encode-Tab signiert HS256-Tokens im Browser - keine neue URL
NumericDate-Chips fuer iat/exp und 32-Byte-Secret-Hinweis
Decode prueft nicht und laeuft clientseitig - das Token bleibt auf Ihrem Geraet

So verwenden Sie JWT-Decoder - Schritt für Schritt

Schritt 1: Decode ist der Standard-Tab. Fugen Sie ein JWT ein. Ein Bearer-Praefix ist optional und wird automatisch entfernt.
Schritt 2: Header und Payload erscheinen als formatiertes JSON. Zeit-Claims (iat, exp, nbf) zeigen Unix-Sekunden plus UTC- und lokale Uhr. Die Signatur ist das unveraenderte dritte Segment.
Schritt 3: Wechseln Sie zu Encode, um ein Testtoken zu signieren. Das Header-JSON ist mit alg HS256 vorausgefüllt. Bearbeiten Sie die Payload, nutzen Sie optional einen NumericDate-Chip fuer iat oder exp, geben Sie ein Secret ein und signieren Sie.
Schritt 4: Kopieren Sie das Token oder senden Sie es an Decode, um das kompakt serialisierte JSON zu sehen, das wirklich signiert wurde. Bei ungueltiger Eingabe erklaert eine kurze Meldung, ob Struktur, Kodierung oder JSON falsch sind.

Der JWT-Decoder befindet sich unter Entwickler-Tools. Öffnen Sie die Tool-Seite, geben Sie Ihre Eingabe im Hauptfeld ein, und die Ergebnisse aktualisieren sich sofort. Nutzen Sie den Kopieren-Button, um die Ausgabe in Dokumente, Code-Editoren oder Tabellen einzufügen.

Häufige Anwendungsfälle

API-Bearer-Tokens debuggen

Fügen Sie ein Token aus einem Authorization-Header ein, um alg, typ, sub, exp und andere Claims zu sehen, ohne es an einen Drittanbieter-Debugger zu senden.

Ablauf- und Ausstellungs-Claims prüfen

Lesen Sie iat und exp in der Payload, wenn eine Anfrage als unauthorized abgelehnt wird, und bestätigen Sie, dass die echte Prüfung weiter auf Ihrem Server stattfindet.

JWT-Struktur lernen

Sehen Sie, wie header.payload.signature auf JSON-Objekte und eine Base64URL-Signatur abbildet, inklusive ungesicherter Tokens mit leerem dritten Segment.

HS256-Testtoken erzeugen

Nutzen Sie Encode, um kompakte HS256-JWTs fuer Postman oder lokale APIs zu signieren. NumericDate-Chips setzen iat und exp ohne Unix-Suche, und Im Decodieren-Tab pruefen bestaetigt das kompakt serialisierte JSON.

Beispiele

Standard-JWT mit drei Teilen: header.payload.signature wird zu einem JSON-Header (alg, typ), einer JSON-Payload (Claims wie sub, iat, exp) und einer Base64URL-Signatur.
Authorization-Header: Fugen Sie Bearer eyJ... ein - das Tool entfernt das Bearer-Praefix und decodiert das Token.
Ungesichertes JWT (alg none): Ein Token mit leerem dritten Segment wird trotzdem decodiert. Das Signaturfeld bleibt leer - Decode prueft weiterhin nichts.
HS256-Testtoken: Unter Encode den HS256-Header behalten, Claims setzen, ein reines Dev-Secret eingeben und signieren. Die Ausgabe ist ein dreiteiliges JWT fuer Postman oder Decode.

Profi-Tipps

Der Decode-Tab prueft Signaturen nie. Jeder kann Header- und Payload-Claims faelschen.
Fuegen Sie keine Produktions-Secrets oder Live-Session-Tokens in einen Online-Decoder ein, den Sie nicht kontrollieren - dieser bleibt im Browser, aber die Gewohnheit zaehlt trotzdem.
Ein gueltiges JWT hat genau drei Teile. Ein fehlender Punkt am Ende eines ungesicherten Tokens schlaegt fehl.
exp und iat sind Unix-Zeitstempel in Sekunden; diese Seite zeigt UTC- und lokale Uhr, und der Unix Timestamp Konverter ist einen Klick entfernt.
Encode setzt alg auf HS256 und serialisiert JSON kompakt. Leerzeichen bei jwt.io aendern die Signatur - dieser Encoder entspricht der kompakten jsonwebtoken-Ausgabe.
HS256-Secrets sollten mindestens 32 UTF-8-Bytes haben. Kombinieren Sie es mit dem Hash-Generator zum Lernen von HMAC, nicht als Ersatz fuer die Pruefung auf dem Server.

Häufig gestellte Fragen

Was ist ein JWT?

Ein JSON Web Token besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: einem Header, einer Payload aus Claims und einer Signatur. APIs nutzen JWTs als Bearer-Token. Decode liest die Teile. Encode baut ein HS256-signiertes Token fuer Tests.

Prueft dieser Decoder die Signatur?

Nein. Der Decode-Tab prueft nie. Die Pruefung braucht das Secret oder den oeffentlichen Schluessel und muss auf einem vertrauenswuerdigen Server stattfinden. Decodieren zeigt nur, was das Token behauptet - das kann jeder faelschen.

Kann ich hier ein JWT encodieren oder signieren?

Ja, im Encode-Tab derselben Seite - es gibt keine eigene jwt-encoder-URL. Dort wird kompaktes JSON mit HMAC-SHA256 (HS256) im Browser signiert. Nutzen Sie ein Test-Secret, niemals einen Produktionsschluessel.

Warum nur HS256 und nicht RS256?

HS256 ist HMAC mit einem geteilten Secret und laeuft in der Web-Crypto-API, ohne einen privaten Schluessel hochzuladen. RSA und ECDSA brauchen Schluesselpaare und gehoeren auf einen Server. Diese Seite setzt alg auf HS256, damit der Header nicht RS256 sagt, waehrend die Bytes HMAC sind. Fuer den HMAC-Hex-Digest einer Nachricht plus Secret nutzen Sie den HMAC-Modus des Hash Generators.

Wird mein Token oder Secret an einen Server gesendet?

Nein. Decode und Encode laufen vollstaendig in Ihrem Browser. Nichts, was Sie einfuegen, wird hochgeladen, protokolliert oder gespeichert.

Warum sehe ich einen Fehler?

Ein gueltiges JWT hat genau drei Teile. Header und Payload muessen Base64URL-kodiertes JSON sein. Zusaetzliche Punkte, fehlende Teile oder beschaedigte Kodierung fuehren zu einer klaren Fehlermeldung. Encode lehnt auch ungueltiges JSON und ein leeres Secret ab.

Kann ich exp-, sub- oder role-Claims aus diesem Tool vertrauen?

Nicht fuer sich allein. Jeder kann ein Token mit beliebigen Claims erzeugen. Nutzen Sie Decode, um vorhandene Tokens zu debuggen, und pruefen Sie Signaturen im Backend.

Was ist Base64URL?

Base64URL ist Base64, bei dem + und / durch - und _ ersetzt werden und Padding oft entfaellt. JWT-Header und Payload nutzen diese Kodierung, damit Tokens URL-sicher sind.

Wie konvertiere ich JWT exp/iat Unix-Timestamps in ein lesbares Datum?

Im JWT-Payload sind iat die Ausstellzeit und exp die Ablaufzeit als Unix-Timestamps. Diese Seite zeigt bereits UTC- und lokale Uhr fuer diese Claims. Sie koennen die Zahlen auch in den Unix Timestamp Converter einfuegen: https://www.toolsminify.com/converter-tools/timestamp-converter.