झटपट जवाब
JWT पेस्ट करें — बिंदुओं से अलग किए तीन हिस्सों वाली लंबी स्ट्रिंग — और डिकोडर उसका header (algorithm और type) और payload (claim) पढ़ने लायक JSON के रूप में दिखाता है। exp और iat जैसी तारीख़ें असली तारीख़ों में बदल जाती हैं, और आपको तुरंत दिखता है कि token expire हो चुका है या नहीं। Decoding साबित नहीं करती कि token असली है: HS256 सिग्नेचर जाँचने के लिए सीक्रेट डालें। आपका token कभी आपके ब्राउज़र से बाहर नहीं जाता।
JWT डिकोडर क्या है?
JWT डिकोडर (JWT डिकोडर) JSON Web Token पढ़कर बताता है कि उसके अंदर क्या है। JWT आधुनिक ऐप में हर जगह हैं: जब आप किसी वेबसाइट या मोबाइल ऐप में लॉग-इन करते हैं, तो सर्वर अक्सर आपके ब्राउज़र को eyJhbGciOiJIUzI1NiIs… जैसा token देता है जो बाद के request पर साबित करता है कि आप कौन हैं। API उन्हें Authorization: Bearer header में लेते हैं, Google, Firebase, Auth0 और AWS Cognito जैसे single sign-on सिस्टम उन्हें ID token के रूप में जारी करते हैं, और webhook व microservice उन्हें सर्वरों के बीच भेजते हैं।
हर token में claim होते हैं — यूज़र की ID, उनका ईमेल या भूमिका, token किसने जारी किया, वह किसके लिए है और कब expire होता है — Base64URL में एन्कोड, ताकि वे URL और header में सुरक्षित यात्रा कर सकें। यह मुफ़्त डिकोडर token को वापस पढ़ने लायक JSON में बदलता है, मानक claim समझाता है, timestamp वाले claim को असली तारीख़ों में बदलता है, बताता है कि token expire हुआ या नहीं, असुरक्षित सेटिंग पर चेतावनी देता है, और HMAC-signed token के लिए आपके सीक्रेट से सिग्नेचर verify कर सकता है। यह सब आपके ब्राउज़र में होता है; token कभी अपलोड नहीं होता।
मुख्य सुविधाएँ
- JSON के रूप में decode और pretty-print किए गए Header और payload।
- UTF-8 सुरक्षित — हिंदी या दूसरी भाषाओं के नाम और claim सही दिखते हैं।
- registered claim के सरल अंग्रेज़ी अर्थों के साथ Claim तालिका।
- तारीख़ें — exp, iat, nbf और auth_time UTC और लोकल समय में, “in 2 h” या “3 days ago” के साथ।
- स्थिति — expired, अभी वैध नहीं या अब भी वैध।
- alg none और एन्क्रिप्टेड (JWE) token के लिए चेतावनियाँ।
- HS256, HS384 और HS512 के लिए HMAC verification।
- “Bearer ” prefix अपने-आप हट जाता है।
JWT कैसे decode करें — स्टेप बाय स्टेप
- अपने ब्राउज़र के developer tools, API response, cookie या लॉग से token कॉपी करें।
- उसे बॉक्स में पेस्ट करें; नतीजा तुरंत दिखता है।
- algorithm और expiry के लिए स्थिति वाली लाइन पढ़ें।
- Header और payload JSON और claim तालिका जाँचें।
- HS256/384/512 token verify करने के लिए साझा सीक्रेट डालें। इस पेज का सैंपल token सीक्रेट
promptminds-secretसे signed है, इसलिए आप उसे आज़मा सकते हैं।
JWT के तीन हिस्से
| हिस्सा | इसमें क्या होता है | उदाहरण (decode किया हुआ) |
|---|---|---|
| Header | Algorithm और token का type | {"alg": "HS256", "typ": "JWT"} |
| Payload | यूज़र और token के बारे में claim | {"sub": "1234567890", "name": "Prompt Minds", "exp": 4102444800} |
| सिग्नेचर | header.payload पर HMAC या डिजिटल सिग्नेचर | बाइनरी डेटा, Base64URL-encoded |
तीनों हिस्से बिंदुओं से जुड़े होते हैं। चूँकि सिर्फ़ सिग्नेचर सीक्रेट या private key पर निर्भर करता है, पहले दो हिस्से कोई भी decode कर सकता है — इसीलिए JWT payload में पासवर्ड, कार्ड नंबर या दूसरे सीक्रेट कभी नहीं होने चाहिए।
Registered claim समझें
| Claim | नाम | मतलब |
|---|---|---|
| iss | Issuer | token किसने बनाया (जैसे आपके auth सर्वर का URL) |
| sub | Subject | token किसके बारे में है — आमतौर पर यूज़र ID |
| aud | Audience | कौन-सा ऐप या API इसे स्वीकार करे |
| exp | Expiration time | इस समय के बाद token अस्वीकार होना चाहिए |
| nbf | Not before | इस समय से पहले token अस्वीकार होना चाहिए |
| iat | Issued at | token कब बना |
| jti | JWT ID | यूनिक ID, replay रोकने में काम की |
समय वाले claim सेकंड में Unix timestamp हैं। जैसे, exp 4102444800 है 1 जनवरी 2100 00:00 UTC — इस पेज के सैंपल token में इस्तेमाल हुई दूर भविष्य की expiry। हमारा Timestamp कन्वर्टर ऐसे किसी भी मान को बदल देता है।
Decoding बनाम Verifying
Decoding बताती है “यह token क्या कहता है?”। Verifying बताती है “क्या मैं इसकी बात पर भरोसा कर सकता हूँ?”। Verify करने के लिए सर्वर header.payload पर साझा सीक्रेट (HS256) से सिग्नेचर दोबारा निकालता है या issuer की public key (RS256, ES256) से जाँचता है, फिर exp, nbf, iss और aud validate करता है। सब जाँच पास होने के बाद ही उसे claim पर काम करना चाहिए। यह टूल टेस्टिंग के लिए verification का HMAC हिस्सा कर सकता है; public-key algorithm के लिए अपनी सर्वर लाइब्रेरी और issuer का JWKS endpoint इस्तेमाल करें।
JWT सुरक्षा की आम गलतियाँ
- alg none स्वीकार करना — हमलावर सिग्नेचर हटा सकता है। हमेशा कोई ख़ास algorithm अनिवार्य करें।
- Algorithm भ्रम — जो सर्वर RS256 और HS256 दोनों स्वीकार करते हैं, उन्हें public key को HMAC सीक्रेट की तरह इस्तेमाल करने के लिए बहकाया जा सकता है। अपेक्षित algorithm तय कर दें।
- कमज़ोर HMAC सीक्रेट — छोटे सीक्रेट पकड़े गए token से brute-force हो सकते हैं। कम से कम 256 रैंडम bit इस्तेमाल करें।
- लंबी उम्र वाले token — access token छोटे रखें (मिनट से घंटे) और refresh token इस्तेमाल करें।
- Token को localStorage में रखना — कोई भी XSS उन्हें चुरा सकता है; HttpOnly cookie पर विचार करें।
- Payload में संवेदनशील डेटा — token देखने वाला कोई भी उसे पढ़ सकता है।
JWT कहाँ मिलेगा
- ब्राउज़र developer tools → Network टैब → किसी request का Authorization header।
- Application / Storage टैब → cookie, localStorage या sessionStorage।
- login endpoint के API response (अक्सर access_token और id_token फ़ील्ड)।
- डीबग करते समय मोबाइल ऐप लॉग या proxy टूल।
- Firebase —
await user.getIdToken()एक ID token लौटाता है जिसे आप यहाँ पेस्ट कर सकते हैं।
यह डिकोडर कैसे काम करता है
टूल शुरुआत का “Bearer ” हटाता है, token को बिंदुओं पर बाँटता है, हर Base64URL हिस्से को वापस byte में बदलता है (padding जोड़कर और - व _ को + व / से बदलकर), byte को सख़्त UTF-8 के रूप में decode करता है और उन्हें JSON की तरह पार्स करता है। त्रुटियाँ ठीक-ठीक बताई जाती हैं — जैसे अगर किसी हिस्से में Base64URL न होने वाले कैरेक्टर हों या वह मान्य JSON न हो। Expiry की स्थिति आपके डिवाइस की घड़ी से निकाली जाती है। HS256/384/512 के लिए यह Web Crypto API से आपका सीक्रेट इंपोर्ट करता है, header.payload का HMAC निकालता है और Base64URL नतीजे को token के सिग्नेचर से मिलाता है।
Access Token, ID Token और Refresh Token
OAuth 2.0 और OpenID Connect पर आधारित login सिस्टम आमतौर पर कई token जारी करते हैं। ID token हमेशा JWT होता है और क्लाइंट ऐप के लिए यूज़र (नाम, ईमेल, sub) का वर्णन करता है। Access token API को भेजा जाता है; वह अक्सर JWT होता है पर एक opaque रैंडम स्ट्रिंग भी हो सकता है जिसे सिर्फ़ issuer समझता है — उन्हें यहाँ decode नहीं किया जा सकता। Refresh token लंबी उम्र वाला होता है, सुरक्षित रखा जाना चाहिए, और access token expire होने पर नए access token के लिए बदला जाता है। अगर कोई token decode नहीं हो रहा, तो वह शायद खराब नहीं बल्कि opaque है।
आम उपयोग
- exp, aud और iss जाँचकर “401 Unauthorized” त्रुटियाँ डीबग करना।
- जाँचना कि token कौन-सी भूमिकाएँ या scope देता है।
- अलग-अलग identity provider के ID token की तुलना करना।
- डेवलपमेंट के दौरान HS256 webhook या सर्विस token verify करना।
- सीखना कि authentication token कैसे बनते हैं।
- सर्वरों के बीच घड़ी के अंतर (clock-skew) की समस्याएँ पक्की करना।
- जाँचना कि नई रिलीज़ अब भी अपेक्षित claim वाले token जारी करती है।
इन आम गलतियों से बचें
- सुरक्षा के फ़ैसलों के लिए ब्राउज़र में decode किए claim पर भरोसा करना — हमेशा सर्वर पर verify करें।
- प्रोडक्शन token अनजान वेबसाइट पर पेस्ट करना — token एक अस्थायी पासवर्ड है।
- exp को मिलीसेकंड समझना — JWT के समय सेकंड में होते हैं।
- Clock skew अनदेखा करना — सर्वरों के बीच एक-दो मिनट की छूट दें।
- हर जगह एक ही सीक्रेट इस्तेमाल करना — सीक्रेट बदलते रहें और उनका दायरा सीमित रखें।
समस्या-समाधान
- “A JWT has 3 parts” — token कट गया है या उसमें फ़ालतू टेक्स्ट है; उसे पूरा दोबारा कॉपी करें।
- “not valid Base64URL JSON” — token शायद JWT नहीं बल्कि opaque access token है।
- सिग्नेचर मेल नहीं खाता — गलत सीक्रेट, बदला हुआ token, या सर्वर पर सीक्रेट Base64-encoded है (decode किया सीक्रेट डालें)।
- Expired है फिर भी ऐप चल रहा है — ऐप शायद token अपने-आप refresh करता है या कोई दूसरा token जाँचता है।
संक्षिप्त शब्दावली
- JWT: JSON Web Token (RFC 7519)।
- JWS / JWE: signed / encrypted token फ़ॉर्मैट।
- Claim: payload में मौजूद जानकारी का एक टुकड़ा।
- HMAC: HS256/384/512 में इस्तेमाल होने वाला key वाला हैश।
- JWKS: RS/ES token verify करने के लिए public key का JSON सेट।
- Bearer token: ऐसा token जो उसे रखने वाले किसी को भी पहुँच देता है।
- Base64URL: बिना padding का URL-सुरक्षित Base64, जो JWT के हर हिस्से में इस्तेमाल होता है।
- Clock skew: सर्वरों के बीच समय का छोटा फ़र्क जो नए token को expired दिखा सकता है।
यह JWT डिकोडर क्यों इस्तेमाल करें?
यह किसी भी JWT को तुरंत decode करता है, claim और expiry को सरल भाषा में समझाता है, खतरनाक सेटिंग पर चेताता है, HMAC सिग्नेचर verify करता है और आपका token आपके डिवाइस पर रखता है — मुफ़्त और बिना साइन-अप के।
JWT डिकोडर — मुख्य बातें
| Decode करता है | Header और payload (Base64URL → UTF-8 JSON) |
|---|---|
| Claim | iss, sub, aud, exp, nbf, iat, jti और कस्टम claim |
| तारीख़ें | exp, iat, nbf UTC और लोकल समय में expiry स्थिति के साथ |
| जाँचें | आपके सीक्रेट (Web Crypto) के साथ HS256 / HS384 / HS512 |
| Verify नहीं होते | RS / ES / PS सिग्नेचर (इन्हें issuer की public key चाहिए) |
| निजता | आपके ब्राउज़र में चलता है — token कभी अपलोड नहीं होता |
अक्सर पूछे जाने वाले सवाल
JWT क्या है?
JSON Web Token (JWT) सिस्टम के बीच claim — जैसे यूज़र ID और expiry समय — भेजने का छोटा, URL-सुरक्षित तरीका है। इसके बिंदुओं से अलग किए तीन Base64URL हिस्से होते हैं: header, payload और सिग्नेचर। यह RFC 7519 में परिभाषित है।
क्या JWT एन्क्रिप्टेड होता है?
आमतौर पर नहीं। सामान्य signed JWT (JWS) सिर्फ़ एन्कोड होता है, इसलिए जिसके पास भी वह है वह header और payload पढ़ सकता है — यह डिकोडर ठीक यही करता है। सिग्नेचर छेड़छाड़ रोकता है, पढ़ना नहीं। JWT payload में पासवर्ड या संवेदनशील निजी डेटा कभी न रखें।
क्या decoding साबित करती है कि token वैध है?
नहीं। Decoding सिर्फ़ सामग्री पढ़ती है। Token तभी भरोसेमंद है जब उसका सिग्नेचर सही key से verify हो और उसके claim (expiry, issuer, audience) आपके सर्वर पर जाँचे जाएँ।
मैं कैसे जाँचूँ कि JWT expire हो चुका है?
exp claim देखें, जो सेकंड में Unix timestamp है। डिकोडर उसे तारीख़ में बदलता है और बताता है कि वह अतीत में (expired) है या भविष्य में, और कितना पहले या कितनी जल्दी।
क्या यह टूल सिग्नेचर verify कर सकता है?
HMAC token (HS256, HS384, HS512) के लिए हाँ, अगर आप साझा सीक्रेट डालें। RS256, ES256, PS256 जैसे token public-key cryptography इस्तेमाल करते हैं; उन्हें अपने सर्वर पर issuer की public key या JWKS से verify करें।
क्या यहाँ अपना token पेस्ट करना सुरक्षित है?
Decoding और verification पूरी तरह आपके ब्राउज़र में होती है और कुछ सर्वर को नहीं भेजा जाता। फिर भी लाइव token को पासवर्ड की तरह मानें: टेस्ट token को तरजीह दें, और प्रोडक्शन token कभी उन टूल में पेस्ट न करें जिन पर आपको भरोसा नहीं।
alg none का क्या मतलब है?
इसका मतलब है token unsigned है। ऐसे token स्वीकार करने से गंभीर सुरक्षा खामियाँ हुई हैं, इसलिए डिकोडर आपको चेतावनी देता है। सर्वर को alg none अस्वीकार करना चाहिए, जब तक कि वे साफ़ तौर पर unsigned token की उम्मीद न करें।
iat, nbf और exp क्या हैं?
iat वह समय है जब token जारी हुआ, nbf वह समय जिससे पहले उसे स्वीकार नहीं किया जाना चाहिए, और exp वह समय जब वह expire होता है। सब 1 जनवरी 1970 UTC से सेकंड में हैं।
मेरे token में पाँच हिस्से क्यों हैं?
पाँच हिस्सों वाला token एन्क्रिप्टेड JWE होता है। उसका payload decryption key के बिना नहीं पढ़ा जा सकता, इसलिए उसे यहाँ decode नहीं किया जा सकता।
Base64URL क्या है?
Base64URL ऐसा Base64 है जिसमें + और / की जगह - और _ होते हैं, और = padding नहीं होती, ताकि token URL और header में सुरक्षित रहें।
क्या मैं Firebase, Auth0, Cognito या Google के token decode कर सकता हूँ?
हाँ। इन provider के ID token और access token मानक JWT हैं। आपको iss, aud, sub, email और auth_time जैसे claim दिखेंगे।
क्या JWT डिकोडर मुफ़्त है?
हाँ। यह मुफ़्त है, असीमित है और साइन-अप की ज़रूरत नहीं।
किसी भी token के अंदर झाँकें!
Header, payload, claim और expiry — निजी रूप से आपके ब्राउज़र में decode।
Prompt Minds के और टूल्स देखें
JWT डिकोडर हमारे दूसरे मुफ़्त टूल्स के साथ भी बढ़िया काम करता है। Prompt Minds का हर टूल पूरी तरह आपके ब्राउज़र में चलता है — न साइन-अप, न अपलोड, न वॉटरमार्क। सभी मुफ़्त टूल्स देखें।