JWT-decoder

Een JWT bestaat uit drie Base64URL-gecodeerde segmenten gescheiden door punten: Header.Payload.Signature. De Header beschrijft het tokentype en signing algorithm (bijv. HS256, RS256). De Payload draagt claims — user id, roles, expiry (exp), issued-at (iat), en eventuele custom fields die je API erin zet. De Signature is een cryptografische zegel over de eerste twee delen; deze decoder toont je de rauwe signaturestring maar verifieert die niet, omdat verificatie het secret of de public key vereist.

Decoderen Base64URL-decodeert alleen header en payload zodat je de claims kunt lezen — dat kan iedereen zonder sleutel, omdat JWT's zijn gesigned, niet encrypted. Verifiëren checkt dat de signature matcht met het secret of de public key van de issuer, wat bewijst dat het token niet is getampered en van een vertrouwde partij komt. Deze tool is een decoder voor debugging; hij claimt nooit dat een token authentiek is tenzij je de signature apart in je eigen backend verifieert.

Die claims worden opgeslagen als Unix time in seconden sinds 1970-01-01 UTC. Deze tool detecteert gangbare timestamp-keys (exp, iat, nbf, auth_time) en toont de equivalente lokale datum/tijd naast elke waarde. Voor exp specifiek badge't hij het token ook als Expired of Active op basis van de huidige klok van je browser — handig om clock-skew of stale staging tokens in één oogopslag te spotten.

Production- en staging-JWT's bevatten vaak user ids, e-mailadressen, roles of andere PII in de payload — en soms plakken mensen tokens die ook in Authorization-headers naast secrets verschijnen. Een server-side debugger ontvangt die hele string. Deze tool uploadt nooit iets: Base64URL-decoding, JSON-parsing en timestampformatting draaien allemaal in je browser, zodat gevoelige tokens op je machine blijven.