فاك تشفير JWT

الصق JWT أدناه لفك تشفير وفحص الرأس والحمولة والتوقيع. ملاحظة: هذه الأداة لا تتحقق من التوقيعات. تتم جميع المعالجات محلياً في متصفحك.

تم النسخ!
معلومات الرمز
ما هو JWT؟
JSON Web Token (JWT) هو تنسيق رمز مضغوط وآمن لعناوين URL يُستخدم لنقل المعلومات بشكل آمن بين الأطراف. يتكون من ثلاثة أجزاء مفصولة بنقاط (.):
  1. الرأس - الخوارزمية ونوع الرمز (مثل HS256، RS256)
  2. الحمولة - المطالبات/البيانات (مثل sub، iat، exp)
  3. التوقيع - يتحقق من عدم التلاعب بالرمز
فك الرمز لا يثبت عنه شيئاً، لأن الترويسة والحمولة ليستا إلا base64url ويستطيع أي أحد إعادة كتابتهما. التوقيع هو الجزء المهم، فألصق السر المشترك لتتحقق الصفحة منه هنا في متصفحك، لخوارزميات HS256 وHS384 وHS512. أما الخوارزميات الأخرى فتوقّع بمفتاح خاص وتتحقق بعام، وليس مما ينبغي لصفحة كهذه أن تطلب منك لصقه. وتُعرض الأوقات مقابل ساعتك أنت مع بيان الفارق، لأن الانتهاء هو غالباً ما تبحث عنه فعلاً.
ملاحظة: هذه الأداة تقوم فقط بـفك ترميز الرمز. لا تتحقق من التوقيع.
أدوات ذات صلة
فك تشفير Base64 
مولّد التجزئة 
محوّل الطابع الزمني 
كيف تخزّن ذلك فعلاً؟
البصمات والرموز وكلمات المرور لا تقوى إلا بقدر الشيفرة المحيطة بها: معامل كلفة تُرك على قيمته الافتراضية، ورمز لا يتحقق أحد من انتهائه، وسر أُودع في المستودع. نحن نراجع التطبيقات ونحصّنها، ونخبرك بما يبلغه المهاجم أولاً.
احجز مراجعة أمنية 
الأسئلة الشائعة
هل يعني فك الرمز أنه صالح؟

لا، وهذا هو الخطأ الجدير بالتجنب. فالترويسة والحمولة ليستا إلا base64url، فيستطيع أي أحد إعادة كتابتهما وإنتاج شيء يُفَك على أتم وجه. التوقيع وحده يقول إن الرمز جاء ممن يدّعي. ألصق السر لتتحقق منه هذه الصفحة.
أي الخوارزميات يمكنكم التحقق منها هنا؟

HS256 وHS384 وHS512، وهي توقّع بسر مشترك. أما رموز RS وES وPS فتوقّع بمفتاح خاص وتُتحقق بعام، ولصق أيّهما في صفحة ويب عادة يحسن ألا تتكوّن. لتلك، تحقق في شيفرتك أنت بمجموعة المفاتيح المنشورة.
ماذا يعني رمز خوارزميته none؟

يعني أنه لا يحمل توقيعاً صالحاً بتاتاً، فتستطيع الحمولة أن تقول ما تشاء. وهو موجود في المواصفة للرموز المحمية بطريقة أخرى، وهو هجوم معروف حين تقبله مكتبة افتراضياً. فإن رأيته على رمز حقيقي فعامل الرمز مدخلاً غير موثوق.
هل من الآمن لصق رمز حقيقي هنا؟

الصفحة لا ترفع شيئاً أبداً، فلا يغادر شيء متصفحك. ومع ذلك فالرمز الحي اعتماد، وحقل السر مستثنى عمداً من الإعدادات المحفوظة ومن سلسلة الاستعلام كي لا يُخزَّن أو يُشارَك سهواً. وألغِ صلاحية كل ما تلصقه في مكان لا تتحكم فيه.
لماذا يُظهر الانتهاء فارقاً زمنياً؟

لأن هذا هو السؤال عادةً. فرمز انتهى قبل أربع دقائق وآخر ينتهي بعد أربع ساعات يبدوان متطابقين تقريباً كأرقام، لذا تعرض الصفحة كليهما مقابل ساعتك أنت وتكتب الفارق. ويمكن عرض الأوقات بتوقيت UTC إن كنت تقارن بسجل خادم.