JWT lesen: Sichtbare Claims sind keine verifizierten Claims
Bei einer Integration kann es helfen, JWT-Felder anzusehen. Das unterstützt die Diagnose, macht die Angaben aber weder zu belegten Tatsachen noch zu einer Handlungserlaubnis.
Was die Inspektion zeigen kann
Die kompakte Form mit 3 Teilen erlaubt das Lesen von kodiertem Header und Payload. Darin können Algorithmusname, Subjekt, Zielgruppe und Ablaufzeit stehen.
Das Werkzeug zeigt die Struktur lokal und entschlüsselt keine JWE-Tokens. Informationen im lesbaren Payload sind nicht vor den Personen verborgen, die den Token besitzen.
Quellen: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
Dekodieren authentifiziert den Aussteller nicht
Vertrauen erfordert kryptografische Prüfung und den erwarteten Anwendungskontext. Algorithmus im Header oder Berechtigung im Payload belegen nicht den richtigen Aussteller.
Hier bleibt verified=false: Signatur, Ausstelleridentität, Ablauf und Berechtigung werden nicht geprüft. Verwenden Sie für Zugriff die vorgesehene Anwendungsprüfung, nicht den angezeigten Text.
Quellen: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
Zeit richtig lesen und Tokens vertraulich behandeln
Das Standardfeld exp zählt Sekunden seit der Unix-Epoche, nicht Millisekunden oder ein lokales Datum. Die Anzeige bedeutet nicht, dass der Decoder die aktuelle Uhr dagegen geprüft hat.
Fügen Sie echte Tokens nicht in Chats, Supportdokumente oder öffentliche Screenshots ein. Lernen Sie mit synthetischen Daten; erfolgreiche Dekodierung nach einer Änderung beweist keine Annahme des Tokens.
Quellen: RFC 7519 — JSON Web Token claims, NumericDate and trust decisions
Ein Diagnosebeispiel ohne Berechtigung
Der synthetische Payload {"sub":"example-reader","exp":1893456000} beschreibt exp als 2030-01-01T00:00:00Z. Das deutet ein Feld, belegt aber keine Ausstellung durch ein vertrauenswürdiges System.
Ein lesbarer Payload kann trotz kryptografisch ungültiger Signatur dekodieren; das Ergebnis bleibt verified=false. sub oder exp zu ändern autorisiert keinen neuen Token, und eine lange Signatur ist nicht per Augenschein gültig.