API und Sicherheit

JWT- & OAuth-Tools

Auth-Debugging beginnt meist mit einem Token oder Header, der sich nicht wie erwartet verhält: ein JWT, das nicht verifiziert, ein OAuth-Redirect ohne einen erwarteten Parameter, oder ein Authorization-Header, den man für einen schnellen Test von Hand bauen muss. Diese Seite vereint JWT- und JWK-Tooling, OAuth- und OIDC-URL-Building mit PKCE sowie Header-Helfer für Basic- und Bearer-Authentifizierung.

JWT-Decoder dekodiert Claims als lesbare UTC-Daten und kann eine Signatur verifizieren, sobald man den Schlüssel angibt, während OAuth / OIDC URL-Builder eine vollständige Autorisierungsanfrage mit PKCE zusammenstellt und den resultierenden Callback prüfen kann. OIDC-Konfiguration prüfen vergleicht die Discovery-Dokumente zweier Anbieter nebeneinander, was beim Wechsel des Identity-Providers hilft. Alles läuft lokal auf dem eingegebenen Token oder der URL.

7 Tools

Alle JWT / OAuth / Auth-Tools

FAQ zu JWT / OAuth / Auth-Tools

Kann ich ein JWT ohne Kenntnis des Secrets dekodieren?

Ja – Header und Payload eines JWT sind nur base64url-kodiert, nicht verschlüsselt, sodass JWT-Decoder die Claims sofort anzeigen kann. Die Signatur zu verifizieren ist etwas anderes und braucht den tatsächlichen Signier- oder öffentlichen Schlüssel, den das Tool nur prüft, sobald man ihn angibt.

Was ist PKCE, und warum braucht mein OAuth-Flow es?

PKCE verhindert, dass ein abgefangener Autorisierungscode von einem Angreifer eingelöst wird, indem der ursprüngliche Client beweisen muss, dass er einen geheimen Verifier besitzt. PKCE Generator erzeugt hier einen Verifier und sein S256-Challenge-Paar zum Testen eines OAuth-Flows, der das voraussetzt.

Was unterscheidet einen Bearer-Token von Basic Auth?

Basic Auth sendet bei jeder Anfrage einen base64-kodierten Benutzernamen und ein Passwort, während ein Bearer-Token ein opakes oder strukturiertes Credential ist, oft ein JWT, das nach einem separaten Login ausgestellt wird. Authentifizierungsheader kann einen Basic-Auth-Header erzeugen und die Struktur eines bestehenden Bearer-Tokens prüfen.