TOKENDECODIEREN.

Nein. Der Decoder läuft vollständig in Ihrem Browser. Das Token wird weder an uns noch an einen anderen Dienst gesendet, nicht in der Adresse abgelegt und nicht gespeichert; nach dem Schließen der Seite ist es weg. Trotzdem gilt: Ein noch gültiges Token wirkt wie ein Passwort. Fügen Sie am besten abgelaufene Tokens oder Tokens aus einem Testkonto ein.

Nein. Er zeigt nur Kopf und Inhalt. Ob ein Token echt und unverändert ist, kann nur der Empfänger mit dem öffentlichen Schlüssel des Ausstellers prüfen, zusammen mit Aussteller, Empfänger und Laufzeit. Ein Decoder, der eine Signatur „bestätigt“, ohne diese Schlüssel sicher zu kennen, wäre irreführend.

Das sind Zeitangaben in Sekunden seit dem 1. Januar 1970 (UTC), wie RFC 7519 sie festlegt. exp ist der Ablauf, nbf der Beginn der Gültigkeit, iat der Zeitpunkt der Ausstellung. Der Decoder rechnet sie in Wiener Ortszeit um und zeigt, wie lange das Token noch gilt.

Nicht jedes Token von Microsoft ist ein lesbares JWT. Microsoft schreibt, dass Tokens für Microsoft-Dienste ein eigenes Format haben und auch verschlüsselt sein können, und dass Anwendungen Zugriffstokens als undurchsichtige Zeichenkette behandeln sollen. Ein verschlüsseltes Token (JWE) erkennen Sie an fünf statt drei Teilen; lesbar ist dann nur der Kopf.

Ein Token mit alg „none“ ist nicht signiert. Wer es verändert, fällt nicht auf. RFC 8725, die Empfehlungen der IETF für JWT, erlaubt das nur, wenn das Token auf anderem Weg kryptografisch geschützt ist. Ein Empfänger sollte die erlaubten Algorithmen selbst festlegen und alles andere ablehnen.