Zum Inhalt springen
CrateX.app Logo

CrateX.app

JWT-Signaturprüfer

Prüfen Sie eine JWT-Signatur lokal mit Secret oder öffentlichem Schlüssel und optional Aussteller, Zielgruppe, Ablauf und Gültigkeitsbeginn.

JWT

Wählen Sie den erwarteten Algorithmus unabhängig. header.alg ändert diese Auswahl nicht.
Wählen Sie die Schlüsselfamilie ausdrücklich; alg im Token ändert die Auswahl nicht.

Im Token angegebener Algorithmus

Unbekannt

Öffentlicher Schlüssel

Unterstützt werden nur ein SPKI PUBLIC KEY PEM-Block oder ein einzelner öffentlicher JWK.

Erlaubt diese Anzahl Sekunden Zeitabweichung bei Zeit-Claims.
Private, lokale Prüfung
Die Prüfung läuft vollständig im Browser. Token, Secret oder öffentlicher Schlüssel, erwarteter Aussteller und Zielgruppe sowie das Prüfergebnis werden weder in URL noch Workspace oder WebDAV geschrieben.
Bei aktivierter WebDAV-Synchronisierung können nur vier nicht sensible Einstellungen synchronisiert werden: erwarteter Algorithmus, Schlüsseltyp, Secret-Codierung und Uhrtoleranz.
Bereit zur Prüfung
Wählen Sie den erwarteten Algorithmus unabhängig. header.alg ändert diese Auswahl nicht.
JWT-Signaturprüfer

Schnellstart

1
Fügen Sie ein signiertes Compact-JWT mit genau drei punktgetrennten Teilen ein.
2
Geben Sie das passende HMAC-Secret, den SPKI-PEM-Schlüssel oder einen öffentlichen JWK ein.
3
Legen Sie optional erwarteten Aussteller, Zielgruppe und Uhrtoleranz fest.
4
Prüfen Sie Algorithmus, Schlüsselformat, Header und Claims, ohne das Ergebnis als Autorisierung zu verstehen.

Häufige Anwendungsfälle

API-Debugging

Prüfen Sie, ob Token und bekannter Schlüssel eine gültige Signatur ergeben.

Migration

Bestätigen Sie Tokens beim Wechsel eines HS-, RS-, PS- oder ES-Schlüssels.

Schlüsselzuordnung

Prüfen Sie, ob ein öffentlicher Schlüssel zum signierten Token gehört.

Claim-Prüfung

Vergleichen Sie iss, aud, exp und nbf mit den Erwartungen Ihrer Integration.

Nutzungstipps

Beziehen Sie Schlüssel aus einem vertrauenswürdigen Kanal und bestätigen Sie Aussteller und Zielgruppe des Backends.
Behandeln Sie HMAC-Secrets und Tokens als sensibel und löschen Sie sie danach, besonders auf geteilten Geräten.
Nutzen Sie diese Prüfung nur zur Diagnose. Das Backend muss Autorisierung, Widerruf, Sitzungen und Geschäftsregeln durchsetzen.

Prüfvertrag

Die Eingabe muss ein dreiteiliges Compact-JWS-JWT sein: header.payload.signature. Fünfteilige JWE sowie verschachtelte oder eigene Formate sind ausgeschlossen.
Schlüsselfamilie und erwarteter Algorithmus werden unabhängig gewählt. header.alg ändert beides nicht; alle drei müssen übereinstimmen. HS nutzt UTF-8 oder Base64URL, RS/PS/ES einen SPKI-PEM-Schlüssel oder öffentlichen JWK.
Das Tool prüft Signatur, exp und nbf; iss oder aud nur bei angegebenen Sollwerten. Die Uhrtoleranz gilt für Zeitprüfungen.

Sicherheitsgrenze

Eine gültige Signatur zeigt nur, dass Token-Bytes, gelieferter Schlüssel und Algorithmus zusammenpassen; nicht, wer den Schlüssel lieferte oder ob der Aussteller vertrauenswürdig ist.
Scopes, Rollen, Rechte, Widerruf, Logout, Sitzung, nonce, azp, subject-Richtlinien und Geschäftsregeln werden nicht geprüft; es wird kein Zugriff erteilt.
Bestätigen Sie Schlüssel, Aussteller, Zielgruppe und Algorithmusrichtlinie separat. Auch ein falsches, aber zusammenpassendes Token-Schlüssel-Paar kann hier bestehen.
Nicht unterstützt: JWE, Ausgabe oder Signierung, private Schlüssel, X.509-Zertifikate, EdDSA, JWK sets/JWKS, OIDC-Erkennung, Remote-Schlüssel und Server-Introspektion.

Einschränkungen und Kompatibilität

Nur signierte dreiteilige Compact-JWS-JWTs; keine verschlüsselten fünfteiligen JWE.
Nur unterstützte HS-, RS-, PS- und ES-Algorithmen; alg none und EdDSA werden abgelehnt.
Nur ein SPKI PUBLIC KEY PEM-Block oder einzelner öffentlicher JWK, keine privaten Schlüssel, Zertifikate, JWKS oder Schlüssel-URLs.
Keine Netzabfrage, OIDC-Erkennung, JWKS-Aktualisierung, Widerrufsprüfung, Ausgabe, Signierung, Download oder Ergebnisfreigabe.

Datenschutz & Sicherheit

Analyse und Prüfung laufen lokal im Browser. Token, Secret, PEM/JWK, Aussteller, Zielgruppe und Ergebnisse werden weder hochgeladen noch in URL, Workspace oder WebDAV gespeichert. Bei aktivierter WebDAV-Synchronisierung können nur vier nicht sensible Einstellungen synchronisiert werden: erwarteter Algorithmus, Schlüsseltyp, Secret-Codierung und Uhrtoleranz.
Nutzen Sie für sensible Daten ein privates Gerät, leeren Sie danach die Felder und vermeiden Sie unsichere Erweiterungen oder Bildschirmfreigaben.

Häufige Fragen

6

Fahren Sie mit diesen verwandten Tools im nächsten Schritt fort.

Über

Über uns
Preise

Rechtliches

Nutzungsbedingungen
Datenschutzerklärung
Cookie-Richtlinie

Einstellungen

Cookies verwalten

Die gesamte Verarbeitung der Tools findet lokal in Ihrem Browser statt.