Decodor și verificator JWT
🔒 Rulează în browser
Verificare semnătură
Algoritmul din header nu este HS256 sau RS256 — verificarea nu este disponibilă pentru acest tip de token.
Decodarea nu este decriptare
Un JWT (JSON Web Token) este semnat, nu criptat: segmentele header și
payload sunt doar JSON codificat base64url, care poate fi citit de oricine
deține token-ul — așa a fost proiectat, nu este o vulnerabilitate. Semnătura dovedește doar
cine a emis token-ul; nu ascunde niciodată ce se află în interior, deci un JWT nu trebuie să
conțină niciodată date secrete.
Token-ul nu părăsește browserul dumneavoastră
Decodarea, inspectarea claim-urilor și verificarea semnăturii — HS256 cu cheie secretă partajată, RS256 cu cheie publică SPKI — rulează integral local, folosind Web Crypto API nativ. Token-ul, cheia secretă sau cheia publică introduse nu sunt niciodată trimise către un server: nimic din acest instrument nu funcționează prin încărcarea datelor dumneavoastră, ceea ce contează pentru că JWT-urile conțin frecvent claim-uri de sesiune sau identitate.
Întrebări frecvente
Decodarea unui JWT este același lucru cu decriptarea?
Nu — un JWT standard (JWS) este semnat, nu criptat. Header-ul și payload-ul sunt doar JSON codificat base64url, care poate fi citit de oricine deține token-ul — așa a fost proiectat. Semnătura dovedește doar cine l-a emis — nu ascunde conținutul payload-ului.
Token-ul meu este trimis către un server pentru verificarea semnăturii?
Nu. Atât decodarea, cât și verificarea semnăturii (HS256 cu cheie secretă partajată, RS256 cu cheie publică) rulează integral în browserul dumneavoastră, folosind Web Crypto API — token-ul nu părăsește browserul.
Ce înseamnă exp, iat și nbf?
exp (expirare) este momentul după care token-ul trebuie respins; iat (emis la) reține momentul creării; nbf (nu înainte de) marchează cel mai devreme moment din care token-ul devine valid. Toate trei sunt timestamp-uri Unix în secunde, afișate aici ca date lizibile.
De ce cere verificarea o cheie secretă sau o cheie PEM?
Verificarea depinde de algoritmul din header-ul token-ului: HS256 are nevoie de aceeași cheie secretă folosită la semnare, iar RS256 are nevoie de cheia publică SPKI (PEM) a emitentului — niciodată o cheie privată, care nu trebuie introdusă în niciun instrument, inclusiv acesta.