Debug auth flow — chceš vidět, co přesně backend posílá v JWT. Kontrola, kdy token expiruje ( exp claim). Ladění OIDC / OAuth identity flow. Audit, jestli token neobsahuje žádné PII, které by tam být neměly.

JWT NENÍ šifrovaný. Payload je jen base64url-encoded JSON — kdokoli umí dekódovat. NIKDY do JWT nevkládej hesla ani tajemství. Tenhle decoder neověřuje podpis. Na to potřebuješ public key a knihovnu (jose, jsonwebtoken). Algoritmus „none". Bezpečnostní díra ve starých implementacích — nikdy neakceptuj. Expiry je v sekundách Unix epoch. Ne milisekundách. Podívej se na exp claim přes timestamp converter. Token z URL. Base64url v URL: pozor na URL-encoded % escape při kopírování.

JWT Decoder

Vlož JWT a dekóduj jeho header a payload. Celé dekódování běží v prohlížeči — tokeny nikdy neopustí stránku.

JWT

Header

Zadej vstup nahoře, aby ses dostal k výsledku.

Payload

Zadej vstup nahoře, aby ses dostal k výsledku.

Signature (base64url, not verified)

Zadej vstup nahoře, aby ses dostal k výsledku.

This tool decodes only — it does not verify the signature against a key. Treat decoded payload as untrusted until verified.

Vytvořil JXXR1 · ♥ Sponzorovat · ☕ Kup mi kávu

K čemu to slouží?

JWT (JSON Web Token) je trojice base64url-encoded částí oddělených tečkami: header.payload.signature. Tenhle nástroj rozdělí token, dekóduje header a payload a zobrazí je jako čitelný JSON. Běží lokálně — tvůj token nikdy neopustí prohlížeč.

Kdy to použít

Debug auth flow — chceš vidět, co přesně backend posílá v JWT.
Kontrola, kdy token expiruje (exp claim).
Ladění OIDC / OAuth identity flow.
Audit, jestli token neobsahuje žádné PII, které by tam být neměly.

Časté chyby

JWT NENÍ šifrovaný. Payload je jen base64url-encoded JSON — kdokoli umí dekódovat. NIKDY do JWT nevkládej hesla ani tajemství.
Tenhle decoder neověřuje podpis. Na to potřebuješ public key a knihovnu (jose, jsonwebtoken).
Algoritmus „none". Bezpečnostní díra ve starých implementacích — nikdy neakceptuj.
Expiry je v sekundách Unix epoch. Ne milisekundách. Podívej se na exp claim přes timestamp converter.
Token z URL. Base64url v URL: pozor na URL-encoded % escape při kopírování.