JWT Decoder

Giải mã và kiểm tra JSON Web Token.
This tool only decodes JWTs — it does NOT verify signatures. Never paste production tokens with sensitive data.

Decode & Inspect

View header, payload, and signature.

Expiration Check

Shows if token is expired with timestamps.

No Verification

Decodes only — never sends token to server.

Client-side

All processing in your browser. No data uploaded.

Giới thiệu về JWT Decoder

JSON Web Tokens (JWTs) are a compact, URL-safe standard for transmitting signed claims between parties, defined in RFC 7519. A JWT consists of three Base64URL-encoded parts separated by dots: the header (algorithm and token type), the payload (claims such as user ID, roles, and expiration time), and the signature. They are widely used in authentication flows — an API server issues a JWT after login, and the client includes it in every subsequent request so the server can verify identity without querying a database. This decoder lets you instantly inspect any JWT's contents. Paste a token and the tool decodes and pretty-prints the header and payload as formatted JSON, so you can read all the claims at a glance. Timestamp claims (exp, iat, nbf) are automatically rendered as human-readable dates, and expired tokens are flagged in red. Importantly, this tool never sends your token to any server — everything is decoded locally in your browser. Signature verification is intentionally not performed, keeping the tool simple and safe for inspecting tokens without needing a secret key.

Làm sao để JWT Decoder?

  1. Paste your JWT (starting with "eyJ...") into the text area at the top of the tool.
  2. The header and payload are decoded and displayed as formatted JSON automatically.
  3. Check the coloured badges near the top for expiration (exp), issued-at (iat), and not-before (nbf) times.
  4. A red "Expired" badge indicates the token's exp claim is in the past.
  5. Use the Copy buttons to copy the header or payload JSON to your clipboard.
  6. Inspect claim fields such as sub (subject/user ID), iss (issuer), and aud (audience) in the payload section.

Câu hỏi thường gặp

Does this tool verify JWT signatures?

No. This tool only decodes the Base64URL-encoded parts of the token — it does not verify the cryptographic signature. Signature verification requires the server's secret key or public certificate and should be done server-side.

Is it safe to paste my JWT here?

Be cautious with production tokens containing sensitive user data. This tool processes everything locally in your browser and never sends data to any server, but avoid pasting tokens from live production systems if possible. Use test or development tokens for inspection.

What are the standard JWT claims?

Common registered claims include: iss (issuer), sub (subject), aud (audience), exp (expiration time), nbf (not before), iat (issued at), and jti (JWT ID). Payloads often also include custom application-specific claims.

What does "exp" mean and why is it important?

The exp claim specifies the expiration time of the token as a Unix timestamp. After this time the token should no longer be accepted. This tool highlights expired tokens in red so you can immediately see if a token has lapsed.

What algorithms can JWTs use?

The algorithm is specified in the header's "alg" field. Common options are HS256 (HMAC-SHA256, symmetric), RS256 (RSA-SHA256, asymmetric), and ES256 (ECDSA-SHA256). The "none" algorithm is considered insecure and should be rejected by servers.

Trình Giải Mã JWT (JSON Web Token) Online An Toàn: Xem Header, Payload & Thời Hạn Hết Hạn

Decode và kiểm tra JSON Web Tokens trực tuyến 100% Client-side không gửi token qua mạng

Vấn đề thường gặp & Giải pháp

Khi phát triển hoặc debug các hệ thống xác thực (Authentication / OAuth2 / OpenID Connect), lập trình viên cần xem nhanh nội dung bên trong JWT (User ID, Roles, Permissions, Expiration time). Tuy nhiên, việc dán token lên các website lạ có thể làm lộ thông tin xác thực nhạy cảm của người dùng.

Metoolzy JWT Decoder cung cấp giải pháp giải mã JSON Web Token an toàn tuyệt đối. Mọi thao tác decode diễn ra 100% trên trình duyệt của bạn (Client-side), tự động tách biệt Header, Payload và Signature, đồng thời tính toán thời gian hết hạn (Expiration) theo múi giờ địa phương.

Tính Năng Nổi Bật Của JWT Decoder

  • Giải mã 3 phần chuẩn RFC 7519: Tự động phân tách và làm đẹp (Format) Header, Payload (Claims), và Signature.
  • Kiểm tra thời gian hết hạn (Token Expiration): Tự động chuyển đổi các timestamp exp và iat sang ngày giờ dễ đọc và cảnh báo token đã hết hạn hay còn hiệu lực.
  • Bảo mật dữ liệu tuyệt đối: Token của bạn không bao giờ được gửi qua mạng Internet hay lưu vào bất kỳ cơ sở dữ liệu nào.
  • Tô màu cú pháp trực quan: Phân biệt rõ ràng giữa các phần Header (Đỏ/Hồng), Payload (Tím), và Signature (Xanh).

Hướng Dẫn Sử Dụng Từng Bước

  1. Dán chuỗi token JWT (dạng xxxxx.yyyyy.zzzzz) vào ô nhập liệu.
  2. Công cụ sẽ tự động phân tích và giải mã ngay lập tức.
  3. Xem chi tiết thông tin Header, Claims trong Payload và trạng thái hiệu lực của Token.

Bảng So Sánh Chi Tiết

Thành phần JWT Mục đích & Nội dung chứa Mã hóa cơ bản
Header Thuật toán mã hóa (VD: HS256, RS256) và loại token (JWT) Base64Url encoded
Payload (Claims) Thông tin người dùng (sub, name, role, permissions, exp, iat) Base64Url encoded
Signature Chữ ký điện tử dùng để xác thực tính toàn vẹn của token HMAC / RSA cryptographic signature

Trường Hợp Ứng Dụng Thực Tế

  • Lập trình viên Backend & Frontend kiểm tra token xác thực API
  • DevOps & Security Engineers audit quyền hạn (roles/permissions) trong JWT
  • Kiểm tra token OAuth2 và Single Sign-On (SSO)

Câu Hỏi Thường Gặp (FAQ)

JWT Decoder có giải mã được Private Key không?

Không. JWT không được mã hóa bí mật (Encryption) mà chỉ được encode Base64Url và ký số (Signature). Bất kỳ ai cũng có thể đọc Payload, do đó không nên lưu trữ mật khẩu hay thông tin cực kỳ nhạy cảm trong JWT.

Giải mã JWT tại Metoolzy có an toàn cho token môi trường Production không?

Tuyệt đối an toàn vì toàn bộ quá trình giải mã diễn ra cục bộ trong bộ nhớ trình duyệt, không có bất kỳ request mạng nào được gửi đi.