Leitfaden

JWS vs. JWE (signiert vs. verschlüsselt)

Ein JWT ist meist ein signiertes JWS; um den Inhalt zu verbergen, nutzt man ein verschlüsseltes JWE. Hier der Unterschied.

JWS (signiert): signiert nur Header und Payload. Der Inhalt ist base64url und für jeden lesbar; nur Manipulation wird geprüft — das übliche JWT.
JWE (verschlüsselt): verschlüsselt die Payload, um den Inhalt zu verbergen. Ohne Schlüssel unlesbar, für sensible Daten, mit fünfteiliger Struktur (vier Punkte).
Die meisten „JWTs“ sind JWS. Dieser Decoder dekodiert JWS (JWE braucht einen Entschlüsselungsschlüssel).
Kurz: nur Integrität → JWS; auch Vertraulichkeit → JWE (oder JWS über TLS).

Dekodieren Sie ein Token selbstEinfach einfügen — Header, Payload und Claims werden sofort aufgeschlüsselt.

Decoder öffnen

Verwandt

Was ist ein JWT

Ein JWT (JSON Web Token) ist ein kleines, signiertes JSON-Token-Format, um Informationen sicher zwischen Parteien zu übertragen.

Die dreiteilige JWT-Struktur

Jedes JWT besteht aus header.payload.signature, und jeder Teil ist base64url-kodiert.

JWT-Sicherheits-Checkliste

Eine kurze Liste der wichtigsten Prinzipien für die sichere Nutzung von JWT.

JWT vs. Session-Authentifizierung

Der Unterschied zwischen Token- (JWT) und Server-Session- (Cookie) Authentifizierung und wann man welche nutzt.

Häufige JWT-Fehler und Lösungen

Die Fehler, denen man beim Arbeiten mit JWT am häufigsten begegnet, mit Ursachen und Lösungen.

Access-Token und Refresh-Token

Die Rolle des kurzlebigen Access-Tokens und des Refresh-Tokens, das es erneuert.

Wo ein JWT speichern: localStorage vs. Cookie

Wo Sie ein JWT im Browser speichern, verändert Ihr XSS- und CSRF-Risiko.

Benutzerdefinierte Claims (öffentlich vs. privat)

Neben registrierten Claims (iss, exp, ...) die selbst definierten Arten und wie man Kollisionen vermeidet.

JWT in OAuth 2.0 & OpenID Connect

Wie JWT in OAuth 2.0 und OpenID Connect verwendet wird.