Работает локально в браузере. Введённые данные не отправляются на наши серверы.
Здесь появится результат
Советы по декодированию JWT
Декодирование ≠ проверка подписи.
Не вставляйте боевые токены с живыми секретами в случайные сервисы.
Смотрите exp, nbf и aud, прежде чем доверять claims.
Алгоритм в header важен — на сервере отклоняйте неожиданный alg.
Payload читает любой, у кого есть токен.
Прочитать JWT без проверки подписи
Обработка выполняется в браузере — введённые данные не загружаются на наши серверы.
JWT — три части Base64url: header, payload, подпись. Декод показывает клеймы вроде `sub`, `exp`, `alg` и не доказывает, что подпись верна.
Вставляйте токены, которые уже есть в DevTools. Payload читает любой, у кого есть токен.
Как декодировать JWT
Вставьте токен
Три сегмента через точку. Лишние пробелы обычно ломают payload.
Смотрите header и клеймы
Проверьте `alg`, срок и audience. `alg: none` и чужой issuer — тревога.
Очистите поле
Токен — учётные данные. Не оставляйте его на общем скриншоте.
FAQ: JWT decode
Decode = токен валиден?
Нет. Decode только читает JSON. Подпись — в JWT validate, когда есть ключ.
Токен уходит на сервер?
Нет. Декод локальный. Это всё равно секрет — не вставляйте боевые токены на чужой машине.
Почему payload без ключа читается?
JWT обычно подписывают, а не шифруют (если это не JWE). Клеймы видит любой держатель токена.