Question 1

Was ist ein JWT-Token?

Accepted Answer

JWT steht für JSON Web Token. Es ist ein offener Standard (RFC 7519) zur sicheren Übertragung von Informationen als JSON-Objekt. JWTs werden häufig für Authentifizierung und Autorisierung in Web-APIs verwendet. Ein JWT besteht aus drei Teilen: Header, Payload und Signatur, getrennt durch Punkte.

Question 2

Wie ist ein JWT aufgebaut?

Accepted Answer

Ein JWT hat die Form xxxxx.yyyyy.zzzzz: Der Header (rot) enthält den Algorithmus und Typ. Der Payload (blau) enthält die Claims (Aussagen) wie Benutzer-ID, Ablaufzeit etc. Die Signatur (grün) verifiziert, dass der Token nicht manipuliert wurde. Header und Payload sind Base64URL-kodiert, nicht verschlüsselt.

Question 3

Kann man einen JWT ohne den Secret Key verifizieren?

Accepted Answer

Nein. Die Signatur kann nur mit dem geheimen Schlüssel (bei HS256) oder dem öffentlichen Schlüssel (bei RS256) verifiziert werden. Unser Decoder zeigt nur den dekodierten Inhalt ohne Signaturverifikation, niemals einem JWT vertrauen, ohne die Signatur server-seitig zu verifizieren.

Question 4

Was bedeuten die Claims im Payload?

Accepted Answer

Standard-Claims sind: 'sub' (Subject/Benutzer-ID), 'iss' (Issuer/Aussteller), 'exp' (Expiration/Ablaufzeit als Unix-Timestamp), 'iat' (Issued At/Ausgestellt am), 'nbf' (Not Before/Gültig ab), 'aud' (Audience/Zielgruppe). Zusätzlich können beliebige benutzerdefinierte Claims hinzugefügt werden.

Question 5

Sind JWTs sicher?

Accepted Answer

JWTs sind sicher, wenn sie korrekt implementiert werden: Immer die Signatur server-seitig verifizieren, starke Geheimnisse verwenden, kurze Ablaufzeiten setzen, HTTPS verwenden. Gefährlich wird es, wenn der Algorithmus 'none' akzeptiert wird oder schwache Geheimnisse verwendet werden. Sensible Daten sollten nicht im Payload gespeichert werden, da dieser nur Base64-kodiert ist.

JWT-Decoder

Über JWT-Token

Standard Claims

Sicherheitshinweis

Häufig gestellte Fragen