Декодер JWT

JWT — это три сегмента в Base64URL, разделённые точками: Header.Payload.Signature. Header описывает тип токена и алгоритм подписи (например, HS256, RS256). Payload несёт claims — id пользователя, роли, срок действия (exp), время выпуска (iat) и любые пользовательские поля вашего API. Signature — криптографическая «печать» над первыми двумя частями; этот декодер показывает сырую строку подписи, но не проверяет её, потому что для верификации нужен secret или публичный ключ.

Декодирование лишь Base64URL-декодирует header и payload, чтобы прочитать claims — ключ для этого не нужен, потому что JWT подписаны, а не зашифрованы. Верификация проверяет, что подпись совпадает с секретом или публичным ключом издателя, и доказывает, что токен не подделан и пришёл от доверенной стороны. Этот инструмент — декодер для отладки; он никогда не заявит, что токен подлинный, пока вы отдельно не проверите подпись на своём бэкенде.

Эти claims хранятся как Unix time в секундах с 1970-01-01 UTC. Инструмент распознаёт распространённые ключи (exp, iat, nbf, auth_time) и показывает рядом локальные дату и время. Для exp дополнительно помечает токен как Expired или Active по часам браузера — удобно заметить clock-skew или устаревшие staging-токены с первого взгляда.

Продакшен- и staging-JWT часто содержат id пользователей, email, роли и другие PII в payload — иногда рядом в Authorization-заголовках оказываются и секреты. Серверный отладчик получает всю строку целиком. Этот инструмент ничего не загружает: Base64URL-декодирование, разбор JSON и форматирование меток выполняются в браузере, так что чувствительные токены остаются на вашем устройстве.