Декодер JWT

JWT состоит из трёх частей, разделённых точками: заголовок, payload и подпись. Первые две части обычно закодированы в Base64URL и легко читаются без ключа. Вставьте токен, чтобы посмотреть алгоритм, идентификатор субъекта и другие поля. Не путайте эту операцию с проверкой подлинности: любой человек может изменить payload и собрать внешне похожую строку. Инструмент специально выводит предупреждение «Подпись НЕ проверена» рядом с результатом, чтобы расшифрованные права не воспринимались как подтверждённые сервером.

Поля exp, nbf и iat обычно содержат Unix-время в секундах. Декодер показывает его как дату UTC, чтобы проще заметить истёкший токен или ошибку часового пояса. Если срок действия в приложении отличается от видимого, проверьте, передаётся ли число в секундах или миллисекундах. Не вставляйте производственный токен в чат или тикет: даже без знания подписи активный токен может дать доступ к API. Здесь обработка локальная, но буфер обмена и скриншот результата остаются на вашем устройстве.

Вставьте JWT из трёх частей. Инструмент декодирует Base64URL и покажет JSON и даты exp, iat, nbf, если они есть.

Начните с кнопки «Вставить пример», чтобы увидеть ожидаемый формат ввода. Затем замените демонстрационные значения своими данными в полях «Исходные данные». Нажмите «Получить результат». Если формат неверный, инструмент покажет ошибку на русском языке; исправьте исходные данные и повторите действие.

Готовый результат можно скопировать одной кнопкой или скачать в файл jwt-decoded.json. Проверьте итог перед публикацией на рабочем сайте: инструмент видит только переданные ему данные и не знает особенностей вашего проекта. Для больших выгрузок удобно сначала обработать небольшой фрагмент и убедиться, что структура результата подходит дальнейшему процессу.

Payload с sub=123 выводится в читаемом JSON.

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjMiLCJuYW1lIjoiVGVzdCJ9.signature

Пример показывает форму исходных данных. Результат создаётся только после запуска виджета, поэтому вы можете изменить пример и сразу увидеть, как это влияет на вывод. Если вы работаете с клиентским сайтом, используйте обезличенный образец для первой проверки, затем переходите к полному файлу.

Декодирование не доказывает подлинность токена. Не используйте отображённые права доступа без криптографической проверки подписи.

Технически корректный результат ещё не означает, что он подходит бизнес-логике сайта. Например, URL может быть синтаксически верным, но вести на удалённую страницу; XML может быть хорошо сформированным, но не соответствовать настройкам конкретной площадки. После автоматической проверки откройте итог в целевой системе или браузере и сравните его с ожидаемым поведением.

Если инструмент сообщает об ошибке, начните с названного поля или строки. При обработке файлов проверьте кодировку, переносы строк, кавычки и спецсимволы. Они часто попадают в данные при экспорте из Excel, CMS или интеграции и могут менять смысл результата.

При отладке авторизации сравните claims токена с политикой сервера: аудитория aud, издатель iss, срок exp и назначение scope должны проверяться приложением. Наличие поля admin=true в payload само по себе ничего не доказывает. Для настоящей проверки подписи понадобится алгоритм и ключ соответствующего издателя; этот инструмент ключ не запрашивает и не пытается доверять токену. Если декодирование падает, проверьте, что скопирована вся строка без префикса Bearer, пробелов и переносов.

Для повторяющихся задач сохраните входной пример и ожидаемый результат как проверочный сценарий. После обновления сайта или формата данных прогоните его снова: небольшое изменение шаблона экспорта иногда меняет поведение без явной ошибки. Если результат используется в производственной системе, проверьте не только синтаксис, но и последствия на нескольких реальных записях. При публикации конфигурации или метатегов сравните исходный HTML и ответ сервера с тем, что вы видите в форме.

Проверьте, какой алгоритм заявлен в header, но не считайте его безопасным только по названию. Сервер должен заранее знать допустимые алгоритмы и не принимать неожиданный alg от клиента. Если payload содержит срок действия, сравните его с текущим временем UTC и допустимым временем рассинхронизации серверов. При отладке веб-приложения полезно открыть сетевой запрос и посмотреть, какой именно токен ушёл в Authorization, но не копируйте его в публичные логи. Этот декодер помогает прочитать поля, а не подтвердить выдачу токена доверенным провайдером.

Если токен содержит персональные данные, относитесь к нему как к чувствительной строке даже после истечения срока действия. Payload лишь закодирован, не зашифрован; любой получивший строку может прочитать его содержимое. Для передачи данных между сервисами выбирайте минимальный набор claims и не кладите туда пароли или ключи. Если нужен зашифрованный токен, используется другой формат и отдельная архитектура. После диагностики очистите поле, а в тикете укажите обезличенный пример структуры вместо настоящего JWT.

Сохраните исходный пример и результат рядом с задачей, чтобы при следующем обновлении можно было повторить проверку. Откройте итоговый файл в целевой системе и сравните не только отсутствие ошибки, но и число обработанных записей, конечные адреса, отображение кириллицы и поведение на мобильном экране, если результат используется в интерфейсе. Для конфигурации сервера сначала примените изменения на тестовом окружении и выполните запрос к реальному URL. Для данных каталога выберите несколько контрольных SKU с разными ценами и остатками. Если расхождение найдено, исправляйте источник данных или шаблон генерации, а не только один скачанный файл. Так следующая автоматическая выгрузка не вернёт проблему.

Поля этого инструмента обрабатываются в вашем браузере. Содержимое не отправляется на сервер Pugofka, а локальный файл читается только после вашего выбора. Для XML определяется кодировка из объявления или BOM; при отсутствии подсказки сначала пробуется UTF-8, затем Windows-1251. Виджет скрыт от записи содержимого в Вебвизоре; в Яндекс Метрику передаются slug инструмента и тип действия — открытие, первое взаимодействие, запуск, получение результата, копирование или скачивание.

При копировании данные попадают в системный буфер обмена устройства, где их могут видеть другие приложения с соответствующим доступом. Если исходник содержит секреты или персональные данные, очистите поле после работы. Скачанный файл остаётся на устройстве, в выбранной браузером папке загрузок.

Используйте результат как рабочий черновик: вставьте его в конфигурацию, страницу или документ и повторно проверьте там, где он будет применяться. Если вы меняете индексируемые страницы, обновите связанные ссылки и карту сайта. Для миграции URL дополнительно запустите сетевую проверку редиректов, чтобы увидеть фактические HTTP-ответы после публикации.

Если задача связана с каталогом, импортом или поддержкой интернет-магазина, команда Pugofka может помочь встроить такую проверку в регулярный обмен данными и исправить источник ошибок. Одноразовая онлайн-утилита полезна для диагностики, а постоянный поток данных обычно требует автоматической проверки на стороне проекта.