Entwickler
JWT-Tokens erklärt: Aufbau, Sicherheit und sicheres Dekodieren
9 Min. Lesen
Wenn Sie sich je bei einer modernen Web-App angemeldet haben, haben Sie ein JWT gehalten. Dieser Leitfaden erklärt Aufbau, Sicherheit und sicheres Dekodieren.
Anatomie eines JWT
Ein JWT besteht aus drei, durch Punkte getrennten Teilen: Header (Algorithmus), Payload (Claims) und Signatur (nur vom Server prüfbar). Jeder Teil ist Base64Url-kodiertes JSON — Kopf und Nutzdaten sind nicht verschlüsselt und für jeden lesbar, der sie dekodiert.
Dekodieren ist nicht verifizieren
Verwechseln Sie die Schritte nicht
Dekodieren braucht keinen Schlüssel. Verifizieren braucht das Servergeheimnis und beweist erst die Echtheit.
Sicherheit
Ein Bearer-Token ist der Schlüssel zu Ihrer Sitzung. Fügen Sie ihn nie in unbekannte Online-Tools ein. Behandeln Sie Tokens wie Passwörter — nur lokale Werkzeuge.
- Browser-basierte Decoder ohne Netzwerkrequest bevorzugen.
- Mit gefälschten oder abgelaufenen Tokens üben.
- Bei Verdacht auf Leak: Sitzung widerrufen.
JWT-Dekodierung mit Convrs
Der Convrs-JWT-Decoder läuft vollständig im Browser. Die drei Teile werden clientseitig dekodiert; kein Request an einen Server, selbst ein Produktions-Token verlässt Ihr Gerät nicht.