Ein JWT (JSON Web Token) ist ein offener Standard (RFC 7519) zur sicheren Übertragung von Informationen zwischen zwei Parteien als kompaktes Token. Es besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: Header (Algorithmus und Typ), Payload (Claims wie Benutzer-ID, Ablaufdatum, Aussteller) und Signature (Verifizierungs-Hash). JWTs werden häufig für API-Authentifizierung, SSO (Single Sign-On) und Session-Management eingesetzt.
Was sind die drei Teile eines JWT?
Jedes JSON Web Token besteht aus drei durch Punkte getrennten Segmenten. Der Header enthält den Signaturalgorithmus (alg, z. B. RS256, HS256) und den Token-Typ (typ, in der Regel „JWT"). Der Payload enthält die Claims — strukturierte Daten wie sub (Benutzer-ID), iss (Aussteller), exp (Ablaufdatum) und benutzerdefinierte Felder wie Rollen oder Berechtigungen. Die Signatur wird durch Signieren des kodierten Headers und Payloads mit einem geheimen Schlüssel (HMAC) oder privaten Schlüssel (RSA/ECDSA) erstellt und stellt sicher, dass das Token nicht manipuliert wurde.
Ist es sicher, ein JWT in ein Online-Tool einzufügen?
JWTs enthalten oft sensible Informationen: Benutzer-IDs, E-Mail-Adressen, Rollen, Berechtigungen und interne Service-Kennungen. Das Einfügen dieser Tokens in Online-Tools, die Daten an ihre Server senden, stellt ein Sicherheitsrisiko dar — das Token könnte protokolliert, zwischengespeichert oder abgefangen werden. Dieses Tool dekodiert alles mit der nativen JavaScript-Funktion atob() direkt in Ihrem Browser. Es werden keine Netzwerkanfragen gestellt. Sie können dies überprüfen, indem Sie den Netzwerk-Tab in den Entwicklertools Ihres Browsers öffnen. Für die Kodierung und Dekodierung von Base64-Daten können Sie unseren Base64-Encoder/Decoder nutzen.
Wofür werden JWTs in Webanwendungen verwendet?
JWTs sind der Standard für zustandsloses Session-Management in modernen Webanwendungen. Nach der Anmeldung stellt der Server ein signiertes Token aus, das der Client bei jeder nachfolgenden Anfrage mitsendet, um seine Identität zu beweisen. JWTs werden für REST-API-Authentifizierung eingesetzt, da der Server keinen Session-Speicher benötigt — die Gültigkeit wird allein durch Prüfung der Signatur und des Ablaufdatums bestätigt. Weitere Einsatzgebiete sind Single Sign-On (SSO) über mehrere Dienste hinweg, OAuth 2.0 Access Tokens und Microservice-Kommunikation, bei der sich Dienste gegenseitig über signierte JWTs autorisieren.