Signatur nicht geprüft. Dekodierte Claims sind nicht vertrauenswürdig.
Ein JWT (JSON Web Token) ist ein kompaktes Token-Format zur Authentifizierung. Er besteht aus drei Base64URL-kodierten Teilen, getrennt durch Punkte: dem Header (Algorithmus und Typ), dem Payload (Claims wie Benutzer-ID und Ablaufzeit) und der Signatur (kryptografischer Beweis, dass der Token nicht manipuliert wurde).
Die Verarbeitung erfolgt im Browser. Speichern und Teilen sind optional, erfordern ein Konto und übertragen den gewählten Inhalt an unseren Dienst.
HS256 verwendet einen gemeinsamen geheimen Schlüssel (symmetrisch) — sowohl Ersteller als auch Prüfer benötigen dasselbe Geheimnis. RS256 verwendet ein öffentlich-privates Schlüsselpaar (asymmetrisch) — der Ersteller signiert mit einem privaten Schlüssel und jeder kann mit dem öffentlichen Schlüssel verifizieren. Verwenden Sie RS256 für öffentliche APIs.
Der numerische exp-Claim wird mit der aktuellen Zeit verglichen. Dieser ungeprüfte Ablaufwert beweist nicht die Echtheit des Tokens. Das Dekodieren allein prüft die Signatur nicht.
Signiert mit HMAC HS256, HS384 und HS512; Dekodieren prüft keine Signaturen.
JWT-Payloads sind Base64-kodiert, nicht verschlüsselt — jeder mit dem Token kann den Inhalt dekodieren und lesen. Speichern Sie nur nicht-sensible Bezeichner (Benutzer-ID, Rollen, Ablaufzeit) in JWTs. Halten Sie sensible Daten serverseitig und referenzieren Sie sie per ID.