Werden Sie gerade angegriffen? Hilfe bei der Vorfallsbehandlung

info@angelforce.eu
ANGELFORCE
DE
Kontakt aufnehmen
Menü

JWT-Decoder

Fügen Sie ein JSON Web Token ein, um Header und Claims zu lesen und es auf riskante Einstellungen zu prüfen. Das Token bleibt in Ihrem Browser.

Nichts verlässt Ihren Browser: Das Token und ein eingegebenes Secret werden nur auf dieser Seite verarbeitet.

So funktioniert es

Ein signiertes JSON Web Token besteht aus drei durch Punkte getrennten Teilen: einem Header, einem Payload mit Claims und einer Signatur. Die ersten beiden sind nur Base64url-kodiert, sodass jeder, der das Token besitzt, sie lesen kann. Dieses Tool dekodiert sie auf Ihrem Gerät, zeigt die Zeit-Claims als Datum an und prüft die Einstellungen, die am häufigsten Sicherheitsprobleme verursachen. Außerdem probiert es eine kurze Liste von Secrets aus Tutorials und Standardkonfigurationen aus, denn mit ihnen signierte Tokens kann jeder fälschen.

So lesen Sie das Ergebnis

Probleme müssen behoben werden: ein unsigniertes Token, fehlende Ablaufzeit oder ein allgemein bekanntes Secret. Warnungen hängen vom Kontext ab; eine fehlende Zielgruppe ist harmlos, wenn nur ein Dienst das Token akzeptiert. Dekodieren ist keine Verifizierung. Nur eine Signaturprüfung mit dem richtigen Schlüssel zeigt, dass ein Token echt und unverändert ist, und der Server muss außerdem den akzeptierten Algorithmus fest vorgeben, statt dem Header zu vertrauen.

Grenzen

Das Tool verifiziert HS256-, HS384- und HS512-Signaturen mit einem von Ihnen eingegebenen Secret. RS-, PS-, ES- oder EdDSA-Signaturen kann es nicht verifizieren, und verschlüsselte Tokens (JWE) mit fünf Teilen kann es nicht lesen.

Häufige Fragen

Wird mein Token irgendwohin gesendet?

Nein. Dekodieren, Prüfungen und Signaturverifizierung laufen vollständig in Ihrem Browser. Behandeln Sie produktive Tokens trotzdem wie Passwörter und fügen Sie sie nur in Tools ein, denen Sie vertrauen.

Warum ist alg none gefährlich?

Das Token hat keine Signatur, also kann jeder seine Claims verändern. Manche Bibliotheken haben es früher akzeptiert, wenn der Server nicht auf einem bestimmten Algorithmus bestand.

Wie lange sollte ein JWT gültig sein?

So kurz wie praktikabel. Access Tokens laufen typischerweise nach 5 bis 60 Minuten ab; längere Sitzungen nutzen Refresh Tokens, die der Server widerrufen kann.

Kann ich hier RS256-Tokens verifizieren?

Nein. Dafür braucht es den öffentlichen Schlüssel des Ausstellers, der meist an dessen JWKS-Endpunkt veröffentlicht wird. Verifizieren Sie solche Tokens in Ihrer JWT-Bibliothek mit festem Schlüssel und Algorithmus.

Sie brauchen mehr, als ein Tool zeigen kann?

Ein Tool prüft einen einzelnen Punkt. Unsere Berater sehen sich das Gesamtbild an.

Penetrationstests

Passende Artikel

Alle Tools