Der JWT Inspector dekodiert ein JSON Web Token und erklärt jeden Teil: den Header, die Payload mit benannten und erläuterten Claims, die Signatur, die Lebensdauer des Tokens, die Erkennung von Microsoft Entra ID / Azure, Sicherheitswarnungen und Algorithmus-Details. Optional kannst du die Signatur verifizieren. Alles läuft lokal in deinem Browser; das Token wird nie hochgeladen oder gespeichert.
Füge ein Token in das Feld ein – die Dekodierung erfolgt während der Eingabe. Der Inspector zerlegt die kompakte Form header.payload.signature in ihre drei farbcodierten Teile und liest das JSON in den ersten beiden. Nichts wird irgendwohin gesendet: Das Token bleibt in deinem Browser-Tab.
Werte tragen eine Farbe. Grün markiert etwas Beruhigendes, etwa eine gültige Signatur oder ein aktuell gültiges Token. Rot markiert eine Warnung: ein abgelaufenes Token, alg: none, eine fehlende Signatur oder ein anderes Sicherheitsproblem. Grau ist neutrale Information. Das Gesamturteil in der Übersichtskarte lautet Sieht gut aus, Sorgfältig prüfen oder Riskant.
Die Befunde sind in Karten gruppiert: Token-Status (Algorithmus, Signatur vorhanden, Typ, Länge), Lebensdauer des Tokens (ausgestellt, gültig ab, Ablauf, Gesamtlebensdauer, Alter und Restzeit), Header, Payload mit jedem erklärten Claim, Signatur, Algorithmus-Details, Sicherheitswarnungen und, falls erkannt, eine Microsoft Entra ID-Karte, die Mandanten-, Anwendungs- und Objekt-IDs herauszieht. Nutze das Suchfeld, um Claims nach Name oder Wert zu filtern.
Das Panel Signatur verifizieren kann das Token gegen seinen Schlüssel prüfen. Wähle Gemeinsames Geheimnis (HMAC) für HS256/384/512 und füge das Geheimnis ein, oder Öffentlicher Schlüssel als PEM oder JWK für die Algorithmen RS/PS/ES/EdDSA. Die Prüfung nutzt das eingebaute WebCrypto des Browsers, und der Schlüssel verlässt dein Gerät nie. Ein ungesichertes Token (alg: none) kann hier nicht verifiziert werden – das wird ehrlich angezeigt.
Die Karte JSON-Werkzeuge erlaubt Kopieren, Verschönern, Verkleinern und Herunterladen des Payload-JSON. Der Bereich Bericht exportieren lädt das vollständige Ergebnis als Markdown oder JSON herunter, öffnet ein druckfertiges A4-Layout zum Speichern als PDF oder kopiert das Token. Der Bericht verwendet dieselben Beschriftungen und dieselbe Sprache wie der Bildschirm.
Die Oberfläche gibt es auf Englisch, Deutsch, Französisch, Italienisch und Spanisch, wählbar über das Menü in der Ecke. Alles wird in deinem Browser dekodiert: nichts wird hochgeladen, protokolliert oder gespeichert. Deshalb ist die App als grün (Lokal) gekennzeichnet. Der Zähler in der Ecke ist derselbe anonyme Aufrufzähler, den jedes Tool der Suite nutzt. Fragen oder Anregungen? Nutze den Link Feedback – er öffnet das Kontaktformular der Suite mit vorausgewähltem JWT Inspector.