Как пользоваться
- Вставьте JWT, чтобы сразу увидеть заголовок, полезную нагрузку и статус срока действия.
- Зарегистрированные утверждения (exp, iat, iss…) показываются в виде читаемого времени и подписей.
- Введите секрет (HS) или открытый ключ (RS / PS / ES) и нажмите «Проверить», чтобы проверить подпись.
Частые вопросы
Безопасно ли вставлять JWT на сайт?
JWT часто представляет авторизованную личность, которую другие могут повторно использовать. Инструмент декодирует и проверяет локально и ничего не отправляет, но рабочие токены всё равно лучше отзывать или дожидаться их истечения после использования.
Означает ли успешное декодирование, что токен действителен?
Нет. Заголовок и полезная нагрузка лишь закодированы в Base64URL, их может прочитать любой; доверять токену можно, только если подпись проверена правильным ключом и срок действия не истёк.
Что такое JWT и из каких частей он состоит?
JWT (JSON Web Token) — распространённый формат токена входа, разделённый точками на три части: заголовок (алгоритм и тип), полезная нагрузка (утверждения, например ID пользователя и срок exp) и подпись. Первые две части — просто JSON в кодировке Base64URL, который может декодировать любой, поэтому никогда не помещайте в полезную нагрузку пароли и другие секреты; доверять ли токену, зависит от того, проверяет ли сервер подпись своим ключом.