Header und Payload eines JWT lokal dekodieren. Das Token verlässt deinen Browser nicht.
Signatur ist NICHT verifiziert. Dieses Tool dekodiert das Token nur lokal in deinem Browser: es prüft die Signatur nie gegen ein Geheimnis, und es wird nichts irgendwohin gesendet.
Es dekodiert Header und Payload und weist auf einen Ablauf hin, prüft die Signatur aber nicht kryptografisch. Dafür braucht man den geheimen oder den öffentlichen Schlüssel, und das gehört auf den Server. Behandle den dekodierten Inhalt als ungeprüft.
Das Token wird komplett in deinem Browser dekodiert und nie übertragen, es verlässt dein Gerät also nicht. Trotzdem sind Tokens sensibel. Dass hier alles lokal läuft, macht den Ort gerade sicherer, um eins anzusehen.
Die Payload eines JWT ist Base64-kodiert und nicht verschlüsselt. Das ist so gewollt, denn die Signatur schützt die Unversehrtheit, nicht die Vertraulichkeit. Packe deshalb nie Geheimnisse in ein JWT.
