Ein JSON Web Token besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: einem Header, einer Payload aus Claims und einer Signatur. APIs nutzen JWTs als Bearer-Token. Decode liest die Teile. Encode baut ein HS256-signiertes Token fuer Tests.

Prueft dieser Decoder die Signatur?

Nein. Der Decode-Tab prueft nie. Die Pruefung braucht das Secret oder den oeffentlichen Schluessel und muss auf einem vertrauenswuerdigen Server stattfinden. Decodieren zeigt nur, was das Token behauptet - das kann jeder faelschen.

Kann ich hier ein JWT encodieren oder signieren?

Ja, im Encode-Tab derselben Seite - es gibt keine eigene jwt-encoder-URL. Dort wird kompaktes JSON mit HMAC-SHA256 (HS256) im Browser signiert. Nutzen Sie ein Test-Secret, niemals einen Produktionsschluessel.

Warum nur HS256 und nicht RS256?

HS256 ist HMAC mit einem geteilten Secret und laeuft in der Web-Crypto-API, ohne einen privaten Schluessel hochzuladen. RSA und ECDSA brauchen Schluesselpaare und gehoeren auf einen Server. Diese Seite setzt alg auf HS256, damit der Header nicht RS256 sagt, waehrend die Bytes HMAC sind. Fuer den HMAC-Hex-Digest einer Nachricht plus Secret nutzen Sie den HMAC-Modus des Hash Generators.

Wird mein Token oder Secret an einen Server gesendet?

Nein. Decode und Encode laufen vollstaendig in Ihrem Browser. Nichts, was Sie einfuegen, wird hochgeladen, protokolliert oder gespeichert.

Warum sehe ich einen Fehler?

Ein gueltiges JWT hat genau drei Teile. Header und Payload muessen Base64URL-kodiertes JSON sein. Zusaetzliche Punkte, fehlende Teile oder beschaedigte Kodierung fuehren zu einer klaren Fehlermeldung. Encode lehnt auch ungueltiges JSON und ein leeres Secret ab.

Kann ich exp-, sub- oder role-Claims aus diesem Tool vertrauen?

Nicht fuer sich allein. Jeder kann ein Token mit beliebigen Claims erzeugen. Nutzen Sie Decode, um vorhandene Tokens zu debuggen, und pruefen Sie Signaturen im Backend.

Base64URL ist Base64, bei dem + und / durch - und _ ersetzt werden und Padding oft entfaellt. JWT-Header und Payload nutzen diese Kodierung, damit Tokens URL-sicher sind.

Wie konvertiere ich JWT exp/iat Unix-Timestamps in ein lesbares Datum?

Im JWT-Payload sind iat die Ausstellzeit und exp die Ablaufzeit als Unix-Timestamps. Diese Seite zeigt bereits UTC- und lokale Uhr fuer diese Claims. Sie koennen die Zahlen auch in den Unix Timestamp Converter einfuegen: https://www.toolsminify.com/converter-tools/timestamp-converter.

Entwickler-Tools

JWT-Decoder

Fugen Sie ein JSON Web Token ein, um Header, Payload und Signatur zu pruefen.

Modus

Nur HS256

JSON Web Token

Nur Decodierung - diese Ansicht prueft die Signatur nicht. Vertrauen Sie Claims erst, wenn ein Server das Token verifiziert.

Über JWT-Decoder

Fugen Sie ein JSON Web Token ein, um Header, Payload und Signatur zu pruefen. Dieser kostenlose JWT-Decoder teilt das Token an den Punkten, decodiert die ersten beiden Teile per Base64URL und gibt das JSON formatiert aus. Decode prueft die Signatur nicht - behandeln Sie Claims als untrusted, bis ein Server sie prueft. Der Encode-Tab signiert ein kompaktes HS256-Token im Browser mit Web Crypto; das Secret verlaesst die Seite nicht. RSA wird nicht angeboten. Alles laeuft clientseitig.

So verwenden Sie JWT-Decoder

Decode ist der Standard-Tab. Fugen Sie ein JWT ein. Ein Bearer-Praefix ist optional und wird automatisch entfernt.
Header und Payload erscheinen als formatiertes JSON. Zeit-Claims (iat, exp, nbf) zeigen Unix-Sekunden plus UTC- und lokale Uhr. Die Signatur ist das unveraenderte dritte Segment.
Wechseln Sie zu Encode, um ein Testtoken zu signieren. Das Header-JSON ist mit alg HS256 vorausgefüllt. Bearbeiten Sie die Payload, nutzen Sie optional einen NumericDate-Chip fuer iat oder exp, geben Sie ein Secret ein und signieren Sie.
Kopieren Sie das Token oder senden Sie es an Decode, um das kompakt serialisierte JSON zu sehen, das wirklich signiert wurde. Bei ungueltiger Eingabe erklaert eine kurze Meldung, ob Struktur, Kodierung oder JSON falsch sind.

Beispiele für JWT-Decoder

Standard-JWT mit drei Teilen

header.payload.signature wird zu einem JSON-Header (alg, typ), einer JSON-Payload (Claims wie sub, iat, exp) und einer Base64URL-Signatur.

Authorization-Header

Fugen Sie Bearer eyJ... ein - das Tool entfernt das Bearer-Praefix und decodiert das Token.

Ungesichertes JWT (alg none)

Ein Token mit leerem dritten Segment wird trotzdem decodiert. Das Signaturfeld bleibt leer - Decode prueft weiterhin nichts.

HS256-Testtoken

Unter Encode den HS256-Header behalten, Claims setzen, ein reines Dev-Secret eingeben und signieren. Die Ausgabe ist ein dreiteiliges JWT fuer Postman oder Decode.

Was steckt in einem JWT

Vollständigen Guide lesen

So verwenden Sie JWT-Decoder: Vollständiger Guide (2026) - 5 Min. Lesezeit

Häufig gestellte Fragen zu JWT-Decoder

Was ist ein JWT?: Ein JSON Web Token besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: einem Header, einer Payload aus Claims und einer Signatur. APIs nutzen JWTs als Bearer-Token. Decode liest die Teile. Encode baut ein HS256-signiertes Token fuer Tests.
Prueft dieser Decoder die Signatur?: Nein. Der Decode-Tab prueft nie. Die Pruefung braucht das Secret oder den oeffentlichen Schluessel und muss auf einem vertrauenswuerdigen Server stattfinden. Decodieren zeigt nur, was das Token behauptet - das kann jeder faelschen.
Kann ich hier ein JWT encodieren oder signieren?: Ja, im Encode-Tab derselben Seite - es gibt keine eigene jwt-encoder-URL. Dort wird kompaktes JSON mit HMAC-SHA256 (HS256) im Browser signiert. Nutzen Sie ein Test-Secret, niemals einen Produktionsschluessel.
Warum nur HS256 und nicht RS256?: HS256 ist HMAC mit einem geteilten Secret und laeuft in der Web-Crypto-API, ohne einen privaten Schluessel hochzuladen. RSA und ECDSA brauchen Schluesselpaare und gehoeren auf einen Server. Diese Seite setzt alg auf HS256, damit der Header nicht RS256 sagt, waehrend die Bytes HMAC sind. Fuer den HMAC-Hex-Digest einer Nachricht plus Secret nutzen Sie den HMAC-Modus des Hash Generators.
Wird mein Token oder Secret an einen Server gesendet?: Nein. Decode und Encode laufen vollstaendig in Ihrem Browser. Nichts, was Sie einfuegen, wird hochgeladen, protokolliert oder gespeichert.
Warum sehe ich einen Fehler?: Ein gueltiges JWT hat genau drei Teile. Header und Payload muessen Base64URL-kodiertes JSON sein. Zusaetzliche Punkte, fehlende Teile oder beschaedigte Kodierung fuehren zu einer klaren Fehlermeldung. Encode lehnt auch ungueltiges JSON und ein leeres Secret ab.
Kann ich exp-, sub- oder role-Claims aus diesem Tool vertrauen?: Nicht fuer sich allein. Jeder kann ein Token mit beliebigen Claims erzeugen. Nutzen Sie Decode, um vorhandene Tokens zu debuggen, und pruefen Sie Signaturen im Backend.
Was ist Base64URL?: Base64URL ist Base64, bei dem + und / durch - und _ ersetzt werden und Padding oft entfaellt. JWT-Header und Payload nutzen diese Kodierung, damit Tokens URL-sicher sind.
Wie konvertiere ich JWT exp/iat Unix-Timestamps in ein lesbares Datum?: Im JWT-Payload sind iat die Ausstellzeit und exp die Ablaufzeit als Unix-Timestamps. Diese Seite zeigt bereits UTC- und lokale Uhr fuer diese Claims. Sie koennen die Zahlen auch in den Unix Timestamp Converter einfuegen: https://www.toolsminify.com/converter-tools/timestamp-converter.

Hash-Generator

Erzeugen Sie SHA-256-, SHA-1-, SHA-384- und SHA-512-Hashes aus beliebigem Text. HMAC liegt auf derselben Seite. Erhalten Sie den Kleinbuchstaben-Hex-Digest sofort in Ihrem Browser - nichts wird hochgeladen.

Unix Timestamp Konverter

Wandeln Sie Unix-Timestamps (Sekunden oder Millisekunden) in ISO 8601, UTC und Ihre lokale Datums-/Uhrzeitangabe um. Konvertieren Sie lokale Daten zurück in Unix Sekunden und Millisekunden. Läuft im Browser.

Base64-Encoder / Decoder

Kostenloser Online-Base64-Encoder und -Decoder. Text zu Base64 kodieren oder Base64 zurück zu Klartext dekodieren, mit voller Unicode-(UTF-8-)Unterstützung - läuft vollständig in Ihrem Browser.