JWT-Inspektor

JSON Web Tokens sind überall, wo moderne Anmeldung passiert: OAuth2-Access-Tokens, Session-Cookies, API-Schlüssel, Single-Sign-on. Sie sehen aus wie kryptischer Zeichensalat, sind aber in Wahrheit nur drei Base64-kodierte Teile, getrennt durch Punkte. Der JWT-Inspektor macht sie lesbar und beantwortet die Fragen, die man beim Debuggen wirklich hat: Was steht drin, für wen ist es, und wann läuft es ab?

Du fügst dein Token ein - ein optionales Bearer-Präfix wird automatisch abgeschnitten - und siehst sofort drei sauber getrennte Panels. Der Header verrät den Signaturalgorithmus und optional die Key-ID. Die Payload zeigt alle Claims, wobei die Standard-Claims wie iss, sub, aud, exp, nbf, iat und jti in Klartext erklärt werden, damit du nicht nachschlagen musst, was welche Abkürzung bedeutet. Die Signatur wird als eigener Block ausgewiesen.

Der wichtigste Praxishelfer ist die Ablauf-Anzeige. Statt einen Unix-Timestamp im Kopf umzurechnen, bekommst du eine klare Statusbanner - gültig, läuft bald ab oder abgelaufen - samt live tickendem Countdown. Ein Token ohne exp-Claim wird ebenfalls markiert, denn ein Token, das nie abläuft, ist selten eine gute Idee. Ein Zeitstrahl zeigt Ausstellung, Gültigkeitsbeginn und Ablauf im Verhältnis zueinander.

Für HMAC-signierte Tokens (HS256, HS384, HS512) kannst du direkt prüfen, ob die Signatur stimmt: Du gibst das Secret ein, und der Inspektor rechnet die Signatur über die Web-Crypto-API deines Browsers nach und zeigt mit einem grünen oder roten Badge, ob sie gültig ist. Für asymmetrische Verfahren wie RS256 oder ES256 zeigt der Inspektor den Algorithmus und eine Einschätzung seiner Sicherheit an; die kryptografische Prüfung dieser Signaturen mit öffentlichem Schlüssel gehört nicht zu den Aufgaben dieses Werkzeugs.

Über den reinen Inspektor hinaus gibt es zwei weitere Modi. Der Token-Builder baut aus einem Header, einer Payload und einem Secret ein neues HS-signiertes Token zusammen - praktisch zum Testen. Der Vergleichsmodus stellt zwei Tokens gegenüber und markiert Claim für Claim, was gleich ist, was sich unterscheidet und was nur in einem der beiden steht - Gold wert, wenn ein Login mal klappt und mal nicht.

Eine Größenwarnung meldet sich, wenn dein Token an die üblichen HTTP-Header-Grenzen stößt, denn überladene Tokens werden von manchen Servern und Proxies stillschweigend abgewiesen. Fertige Beispiel-Tokens - vom Standard-HS256 über ein abgelaufenes bis zu einem deutschen Behörden-Szenario - helfen beim Ausprobieren und Lernen.

Alles läuft zu 100 Prozent clientseitig. Dein Token, dein Secret, deine Claims - nichts davon wird an einen Server geschickt oder gespeichert. Das ist bei Zugangsdaten nicht nur schnell, sondern die einzig vertretbare Art zu arbeiten. Kein Konto, keine Anmeldung, kein Datenabfluss.