JWT Декодер

Страница ничего никуда не отправляет — и декодирование, и проверка HMAC работают в браузере; это можно проверить, открыв страницу и отключившись от сети. Тем не менее к живым продакшен-токенам везде относитесь как к паролям: локальность этого инструмента и есть причина его существования — вставить токен в случайный онлайн-декодер значит отдать предъявительские учётные данные незнакомцу.

Потому что JWT подписан, а не зашифрован. Заголовок и нагрузка — обычный base64url: кодировка, не шифрование — их читает любой, у кого есть токен. Подпись лишь доказывает, кто выдал токен и что он не изменён. Ничего конфиденциального в нагрузку JWT класть нельзя; для этого существуют шифрованные токены (JWE).

Для HS256/384/512 подпись — это HMAC от заголовок.нагрузка с общим секретом. Если проверка проходит с вашим секретом, токен создан стороной, владеющей этим секретом, и не был изменён. О сроке она не говорит ничего — у истёкшего токена подпись по-прежнему верна; поэтому инструмент показывает эти вещи раздельно.

RS256, ES256 и их родственники асимметричны: издатель подписывает приватным ключом, а проверить может любой — публичным. Для проверки нужен этот ключ в правильном формате, и это серверная задача. Раскодированное содержимое выше в любом случае полно и корректно — декодирование ключа не требует.

Спецификация JWT технически допускает неподписанный токен с alg равным none. Ранние библиотеки принимали такие токены как проверенные — атакующий мог убрать подпись, поставить none и свободно править клеймы. Современные библиотеки это отвергают, но инструмент помечает случай, потому что none-токен в реальной системе — почти всегда след атаки либо серьёзная ошибка конфигурации.

exp — лишь жёсткая верхняя граница. Серверы также отклоняют токены с nbf в будущем, с iss или aud, не совпадающими с ожидаемыми, отозванные по jti или вышедшие за допуск расхождения часов. Таблица клеймов показывает всё это — сравнение iss и aud с ожиданиями сервера находит большинство случаев «действителен, но отклонён».