JWT çözümleyici ne yapar?
Bu aracın desteklediği compact JWS biçimindeki JWT, noktalarla ayrılmış üç bölümden oluşur: header, payload ve imza. İlk iki bölüm base64url ile kodlanmış JSON'dur; bu araç onları baytlara, katı UTF-8'e ve oradan bir JSON nesnesine çevirir. Sonuç okunabilir bir döküm olur: header, payload, imza bölümünün ham hâli ve zaman alanlarının yorumu.
Çözmek ile doğrulamak aynı şey değildir. Base64url şifreleme değildir; token'ı eline geçiren herkes içeriğini okuyabilir. Bu araç yalnızca okur: imzayı denetlemez, anahtar ya da gizli değer istemez ve imza üretmez.
Nasıl kullanılır?
- Token'ı girdi kutusuna yapıştırın. Başında
Beareröneki varsa ayıklanır ve bir uyarı görürsünüz. - Header ve payload'ı okuyun.
algiletypalanları token'ın kendi iddiasıdır, bir güven sonucu değildir. - İsterseniz zamanların hangi saat diliminde gösterileceğini seçin ya da cihaz saatiyle değerlendirmeyi kapatın.
- Payload'ı veya header'ı kopyalayın. Temizle düğmesi token'ı, sonuçları ve ekrandaki bütün çıktıları siler.
- Örnek düğmesi rastgele imzalı sentetik bir token oluşturur; gerçek bir kullanıcıya ait değildir.
İmza neden doğrulanmaz?
İmzayı doğrulamak için güvenilir bir anahtar ve doğrulama politikası gerekir. Bu araç anahtar almaz ve imza denetimi yapmaz; bu yüzden her sonuçta İmza doğrulanmadı uyarısı görünür. Erişim kararını token'ı kabul eden sunucu kendi kontrolleriyle vermelidir.
algheader'daki bir iddiadır ve token'ı üreten herkes yazabilir; araç algoritma adını yalnızca olduğu gibi gösterir.alg: noneimzasız olduğunu iddia eden bir token'dır. Araç onu okur ama hiçbir güven sonucu üretmez.- Gerçek bir anahtarla doğru imzalanmış token bile burada doğrulanmış sayılmaz; araçta anahtar girişi yoktur.
- Sonucu geçerli oturum diye yorumlamayın. Yayımlayan, hedef kitle, süre ve imza kontrolleri sunucunun işidir.
exp, nbf ve iat nasıl okunur?
RFC 7519 bu üç alanı NumericDate olarak tanımlar: 1970-01-01T00:00:00Z'den bu yana geçen saniye sayısı; artık saniyeler yok sayılır ve tam sayı olmayan değerlere izin verilir. Araç değeri tarihe çevirmeden önce türünü ve aralığını denetler, geçersiz bir tarih göstermez.
| Alan | Anlam (RFC 7519) | Araçtaki kural |
|---|---|---|
exp | Şu anki zaman bu zamandan önce olmalıdır | Şimdi exp değerine eşit veya büyükse süresi dolmuş sayılır |
nbf | Şu anki zaman bu zamana eşit ya da sonra olmalıdır | Şimdi nbf değerinden küçükse henüz başlamamış sayılır |
iat | Token'ın düzenlendiği zaman | Yalnızca gösterilir; cihaz saatinden ilerideyse uyarı verilir |
Alan yoksa durum bilinmiyor olarak kalır. Sayı olmayan, sonsuz ya da güvenli tam sayı aralığının dışındaki değerler uyarıyla belirtilir ve değerlendirilmez. Aynı epoch değeri farklı saat dilimlerinde farklı saatle yazılır; araç seçtiğiniz saat dilimini ve UTC ISO biçimini birlikte gösterir. Cihaz saatiyle yapılan değerlendirme sunucu doğrulamasının yerine geçmez.
Hatalar ve desteklenmeyenler
- Üç dışında bölüm sayısı (1, 2 veya 4) hata verir.
- Beş bölümlü token şifreli bir JWE'dir; araç yalnızca imzalı üç bölümlü JWS okur.
- Payload bölümü boşsa (
header..signature) ayrık payload'dır; desteklenmez. - base64url'de
+,/,=ya da boşluk gibi karakterler geçersizdir ve konumuyla bildirilir. - Baytlar geçerli UTF-8 değilse, metin geçerli JSON değilse veya JSON bir nesne değilse hata alırsınız; payload bir dizi ya da metin olamaz.
- 64 düzeyden derin iç içe JSON gösterilmez.
Sentetik örnek
Aşağıdaki token bu sayfa için üretilmiş sentetik bir örnektir; gerçek bir kullanıcıya ait değildir ve imza bölümü anlamsız bir metindir.
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZW1vLXVzZXIiLCJleHAiOjE3OTMwOTE2MDB9.c2lnbmF0dXJlLWRlbW8Çözüldüğünde header alg: HS256 ve typ: JWT, payload ise sub: demo-user ile exp: 1793091600 olur. Bu epoch değeri 27 Ekim 2026 09:00:00 UTC anına karşılık gelir. İmza yine de doğrulanmaz.
Gizlilik, sınırlar ve kaynaklar
- Token en fazla 32 KiB olabilir ve JSON en fazla 64 düzey derinliğinde gösterilir; bunlar bu aracın tasarım sınırlarıdır.
- Token paylaşım bağlantısına, adres çubuğundaki hash veya sorguya, localStorage ya da sessionStorage'a yazılmaz ve hiçbir ağ isteğiyle gönderilmez. Bağlantı yalnızca saat dilimi ve değerlendirme ayarını taşıyabilir.
- Temizle düğmesi token'ı, çıktıları ve bellekteki sonucu siler.
- Süresi dolmamış gerçek bir token yetki verebilir; üretim token'larını herhangi bir çevrimiçi araca yapıştırmaktan kaçının.
- Teknik bilgiler 25 Ekim 2026 tarihinde RFC 7519 ve RFC 7515 ile doğrulandı.
Bölümleri ayrı ayrı incelemek için Base64 dönüştürücü, payload'ı biçimlendirmek için JSON biçimlendirici, epoch değerlerini çevirmek için Unix zaman damgası dönüştürücü var.
Sık sorulan sorular
JWT çözmek ile doğrulamak arasındaki fark nedir?
Çözmek, base64url bölümlerini okunur JSON'a çevirmektir ve anahtar gerektirmez. Doğrulamak ise imzanın doğru anahtarla üretildiğini ve süre, yayımlayan, hedef kitle gibi alanların beklentiye uyduğunu sunucuda denetlemektir. Bu araç yalnızca çözer.
Neden her sonuçta İmza doğrulanmadı yazıyor?
İmza doğrulaması anahtar ister ve araçta anahtar girişi yoktur. Sonucun yanlışlıkla geçerli token anlamında okunmaması için uyarı her zaman görünür; geçerli imzalı bir token için bile değişmez.
alg none ne demek?
alg header'daki bir iddiadır; none token'ın imzasız olduğunu söyler. Araç bunu gösterir ve uyarır ama güven sonucu üretmez. İmzasız bir token kimliği kanıtlamaz.
exp değeri şimdiki zamana eşitse süresi dolmuş sayılır mı?
Evet. RFC 7519 şu anki zamanın exp zamanından önce olmasını ister; eşitlik süresi dolmuş demektir. nbf için ise şimdi bu zamana eşit ya da ondan sonra olmalıdır. Karar cihaz saatine dayanır.
Token'ım bir yere gönderiliyor mu?
Hayır. Çözme tarayıcınızda yapılır; token sunucuya gönderilmez, saklanmaz ve paylaşım bağlantısına eklenmez. Bağlantıya yalnızca saat dilimi ve değerlendirme ayarı girebilir.
JWE veya ayrık payload'lı token'ları çözebilir miyim?
Hayır. Beş bölümlü şifreli JWE ve ortası boş (header..signature) ayrık payload'lı token'lar için açık bir hata gösterilir. Araç yalnızca üç bölümlü compact JWS okur.