Konwertery
Base64
Zakoduj tekst lub plik w Base64 albo zdekoduj Base64 z powrotem, z obsługą polskich znaków (UTF-8), wariantu base64url i adresów data:.
Konwertery
Dekoder JWT: odczyt tokenu, daty wygaśnięcia i weryfikacja HS256
Wklej token JWT, a dekoder pokaże nagłówek, dane i daty ważności, ostrzeże przed alg „none” i sprawdzi podpis HMAC, jeśli podasz sekret.
Obliczenia wykonuje Twoja przeglądarka. Wpisane dane nie są wysyłane na serwer.
Nagłówek
{
"typ": "JWT",
"alg": "HS256"
}Dane (payload)
{
"iss": "joe",
"exp": 1300819380,
"http://example.com/is_root": true
}Pola standardowe (RFC 7519)
| Pole | Znaczenie | Wartość | Stan |
|---|---|---|---|
iss | Wystawca | joe | |
exp | Wygasa | 2011-03-22T18:43:00Z | wygasł |
Weryfikacja podpisu HMAC
Dla przykładowego tokenu z RFC 7515 sekret w base64url toAyM1SysPpbyDfgZld3umj1qzKObwVMkoqQ-EstJQLr_T-1qS0gZH75aKtMN3Yj0iPS4hcgUuTwjAzZr1Z9CAow.
Budowa tokenu JWT
JSON Web Token opisuje RFC 7519. Najczęściej spotykany zapis to trzy części oddzielone kropkami: nagłówek, dane (payload) i podpis. Nagłówek i dane to obiekty JSON zakodowane w base64url, a podpis tworzy się według RFC 7515 z dwóch pierwszych części. Token z pięcioma częściami to zaszyfrowany JWE, którego treści nie da się odczytać bez klucza.
Base64url to kodowanie, a nie szyfrowanie, więc każdy, kto ma token, może odczytać jego dane. Nie umieszcza się w nim więc informacji, które mają pozostać tajne.
Pola standardowe
| Pole | Znaczenie według RFC 7519 |
|---|---|
iss | wystawca tokenu |
sub | podmiot, którego dotyczy token |
aud | odbiorcy, dla których token jest przeznaczony |
exp | czas wygaśnięcia, po którym token nie może być przyjęty |
nbf | czas, przed którym token nie może być przyjęty |
iat | czas wystawienia |
jti | unikalny identyfikator tokenu |
Pola czasu zapisuje się jako NumericDate, czyli liczbę sekund od 1970-01-01T00:00:00Z UTC bez sekund przestępnych, tak jak znacznik czasu Unix. Dekoder zamienia je na daty i porównuje z zegarem Twojego komputera.
Algorytm „none”
RFC 7519 dopuszcza niezabezpieczony JWT z "alg": "none" i pustym podpisem. Taki token nie jest chroniony podpisem, więc dekoder wyświetla przy nim ostrzeżenie.
Weryfikacja podpisu
Dla algorytmów HS256, HS384 i HS512 podpis to HMAC z funkcją SHA-2 liczony wspólnym sekretem. Po podaniu sekretu dekoder sprawdza podpis funkcją crypto.subtle.verify z Web Crypto. Przykładowy token wypełniony w polu pochodzi z dodatku A.1 do RFC 7515 i daje się zweryfikować kluczem podanym w tym dokumencie.
Najczęstsze pytania
Czy dekoder sprawdza, czy token jest prawdziwy?
Samo odczytanie tokenu niczego nie potwierdza: nagłówek i dane są tylko zakodowane w base64url, a nie zaszyfrowane. Autentyczność potwierdza podpis. Dla algorytmów HS256, HS384 i HS512 możesz go sprawdzić, podając sekret. Podpisów kluczem publicznym (np. RS256) to narzędzie nie weryfikuje.
Czy bezpiecznie jest wkleić tu token?
Token i sekret są przetwarzane wyłącznie w Twojej przeglądarce i nie trafiają na serwer. Token dostępowy działa jednak jak klucz, więc najlepiej sprawdzać tokeny testowe albo takie, które już wygasły.
Co oznaczają pola exp, iat i nbf?
Według RFC 7519 exp to czas wygaśnięcia, nbf czas, od którego token można przyjmować, a iat czas wystawienia. Wszystkie są zapisane jako liczba sekund od 1970-01-01T00:00:00Z UTC.
Źródła
- RFC 7519: JSON Web Token (JWT), IETF (2015)
- RFC 7515: JSON Web Signature (JWS), IETF (2015)
- SubtleCrypto: verify() method, MDN
Inne narzędzia
Wszystkie narzędzia →
Konwertery
Timestamp Unix
Zamień znacznik czasu Unix (sekundy, milisekundy, mikro- lub nanosekundy) na datę w dowolnej strefie czasowej albo datę na znacznik czasu.
Konwertery
Kodowanie URL
Zakoduj tekst do bezpiecznej postaci w adresie URL (np. spacja jako %20, ą jako %C4%85) albo zdekoduj zakodowany adres i rozłóż go na części oraz parametry.
Konwertery
Systemy liczbowe
Wpisz liczbę w dowolnym z czterech systemów, a konwerter pokaże ją w pozostałych, także dla bardzo dużych liczb i w kodzie uzupełnień do dwóch dla 8–64 bitów.
