מפענח JWT: פענוח JSON Web Token באינטרנט – חינם

מדביקים את האסימון בתיבה. הכותרת והמטען מפוענחים מ-Base64URL ומוצגים מיד כ-JSON מעוצב; אין כפתור ללחוץ עליו.

הפענוח נעשה במכשיר ולא נשלח דבר לשום מקום. עם זאת, יש להתייחס לאסימונים פעילים כמו לסיסמאות: מי שיש לו אסימון עשוי להשתמש בו עד שיפוג תוקפו.

לא. הכלי רק מפענח את האסימון ומציג את החתימה כמות שהיא. כל אחד יכול ליצור אסימון עם כל תוכן, לכן על השרת לאמת את החתימה במפתח שלו לפני שסומכים עליה.

מדביקים ומסתכלים על שורת הסטטוס. הכלי משווה את השדה exp לשעון המכשיר ומציין אם פג תוקף, בתוך תקופת התוקף, או שאין לאסימון תפוגה. הוא גם מסמן אסימון שזמן ה-nbf שלו עדיין לא הגיע.

exp הוא מועד פקיעת התוקף, iat הוא מועד ההנפקה, ו-nbf הוא הזמן שלפניו האסימון אינו בתוקף. הם נשמרים כחותמות זמן Unix בשניות, והכלי מציג אותם כתאריכים באזור הזמן המקומי.

JWT חתום הוא header.payload.signature. הכותרת מציינת את אלגוריתם החתימה (alg) ואת הסוג, המטען מכיל את הטענות כמו sub, exp וכל מידע מותאם אישית, והחתימה מוכיחה שני החלקים הראשונים לא שונו.

כן. המילה "Bearer " בתחילת הערך מוסרת לפני הפענוח, כך שאפשר להדביק את ערך הכותרת כמות שהוא.

ל-JWT חתום יש שלושה חלקים מופרדים בנקודות, והשגיאה מציינת כמה חלקים נמצאו. אסימונים מוצפנים (JWE, חמישה חלקים) אי אפשר לקרוא בלי המפתח, וכמה שירותים משתמשים באסימונים אטומים שבכלל אינם JWT.

בדרך כלל לא. JWT חתום רגיל רק מקודד, כך שכל מי שמחזיק בו יכול לקרוא את המטען. אין לשים סודות במטען של JWT, אלא אם האסימון מוצפן.

כן. השימוש חינם, בלי הרשמה ובלי צורך בהתקנה.