JWT-decoder
Plak een JSON Web Token om de header en claims te lezen en het token te controleren op riskante instellingen. Het token blijft in uw browser.
Niets verlaat uw browser: het token en een eventueel ingevoerd geheim worden alleen op deze pagina verwerkt.
Zo werkt het
Een ondertekend JSON Web Token bestaat uit drie delen, gescheiden door punten: een header, een payload met claims en een handtekening. De eerste twee zijn alleen Base64url-gecodeerd, dus iedereen die het token heeft, kan ze lezen. Deze tool decodeert ze op uw apparaat, toont de tijdclaims als datums en controleert de instellingen die het vaakst beveiligingsproblemen veroorzaken. Ook probeert de tool een korte lijst geheimen uit tutorials en standaardconfiguraties, omdat iedereen tokens kan vervalsen die daarmee zijn ondertekend.
Het resultaat lezen
Problemen moeten worden opgelost: een niet-ondertekend token, geen vervaltijd of een algemeen bekend geheim. Waarschuwingen hangen af van de context; een ontbrekende doelgroep is onschuldig als maar één dienst het token accepteert. Decoderen is geen verificatie. Alleen een controle van de handtekening met de juiste sleutel laat zien dat een token echt en ongewijzigd is, en de server moet bovendien zelf vastleggen welk algoritme hij accepteert in plaats van de header te vertrouwen.
Beperkingen
De tool verifieert HS256-, HS384- en HS512-handtekeningen met een geheim dat u invoert. Hij kan geen RS-, PS-, ES- of EdDSA-handtekeningen verifiëren, en kan geen versleutelde tokens (JWE) lezen; die hebben vijf delen.
Vragen
Wordt mijn token ergens naartoe gestuurd?
Nee. Het decoderen, de controles en de verificatie van de handtekening draaien allemaal in uw browser. Behandel actieve tokens toch als wachtwoorden en plak ze alleen in tools die u vertrouwt.
Waarom is alg none gevaarlijk?
Het token heeft geen handtekening, dus iedereen kan de claims wijzigen. Sommige bibliotheken accepteerden zulke tokens vroeger als de server geen specifiek algoritme eiste.
Hoe lang moet een JWT geldig zijn?
Zo kort als praktisch haalbaar is. Toegangstokens verlopen doorgaans binnen 5 tot 60 minuten; langere sessies gebruiken refreshtokens die de server kan intrekken.
Kan ik hier RS256-tokens verifiëren?
Nee. Daarvoor is de publieke sleutel van de uitgever nodig, die meestal op diens JWKS-endpoint staat. Verifieer zulke tokens in uw JWT-bibliotheek met een vaste sleutel en een vast algoritme.
Meer nodig dan een tool kan laten zien?
Een tool controleert één ding. Onze consultants kijken naar het geheel.
PenetratietestenGerelateerde artikelen
-
Een praktische checklist voor WordPress-beveiliging
Twaalf stappen om WordPress te beveiligen, in logische volgorde: van updates en verlaten plugins tot 2FA, XML-RPC, back-ups, bestandsintegriteit en WAF.
-
Beveiligingsheaders die ertoe doen, en welke u kunt schrappen
Gids voor CSP met nonces, HSTS en preload, frame-ancestors, Referrer-Policy, Permissions-Policy en COOP, met voorbeelden en wat u kunt schrappen.
-
Veilige bestandsuploads ontwerpen en testen
Een checklist met maatregelen voor uploadfuncties, gebaseerd op de OWASP-cheatsheet, plus een tabel met tests voor elk upload-endpoint.