JWT Çözücü

JWT’nin header ve payload bölümleri Base64URL ile kodlanmış JSON’dur ve anahtar olmadan okunabilir. Bu araç yalnız bu kodlamayı çözer. Token’ın gerçekten beklenen tarafından üretildiğini ve değiştirilmediğini ancak imza doğrulaması gösterir; bunun için gizli veya açık anahtar gerekir.

• Çözme (decode): içeriği okur, anahtar gerekmez, güven sağlamaz.
• Doğrulama: imzayı ve exp, nbf, iss, aud claim’lerini denetler; yetkilendirme kararı yalnız buna dayanmalıdır.

• Header’daki alg: sunucunuz yalnız beklediği algoritmayı kabul etmelidir. none veya beklenmeyen bir algoritma içeren token’lar reddedilmelidir.
• exp ve nbf: araç bunları okunur tarihe çevirir ve token’ı girdiğiniz andaki duruma göre işaretler.
• kid: anahtar döndürme kullanan sistemlerde hangi anahtarla imzalandığını gösterir.
• Payload’da gizli olmaması gereken veriler (e-posta, telefon, iç kimlikler) olup olmadığı.

Token tarayıcıda, yazdığınız anda çözülür ve hiçbir yere gönderilmez. Yine de üretim ortamından alınmış ve süresi dolmamış bir token, ele geçirildiğinde oturum anahtarı gibi kullanılabilir; paylaşmadan önce süresinin dolduğundan emin olun.

Token kopyalanırken kesilmiş, başına “Bearer ” eklenmiş veya JWT yerine şifreli bir JWE (beş bölümlü) yapıştırılmış olabilir.

İmza JSON değil, ham bayttır. Araç onu Base64URL hâliyle gösterir; doğrulama için JWT Doğrulayıcı kullanın.