Was ein JWT verrät — und warum man Produktions-Tokens nirgends einfügt

Ein JSON Web Token sieht nach Zufallszeichen aus, besteht aber exakt aus drei Teilen: Header, Payload, Signatur. Zu wissen, was jeder Teil tut, ist eine Sicherheitsfertigkeit.

Die Signatur verhindert Manipulation — nicht Lesen

Header und Payload sind schlichtes Base64URL: Jeder, der den Token hält, liest Claims wie User-ID, E-Mail, Rollen und Ablauf mühelos. Die Signatur beweist nur, dass der Payload nicht von jemandem ohne den Schlüssel verändert wurde.

Die klassische Falle: alg=none

Akzeptiert ein Server Token mit Algorithmus none, wird die Signatur komplett übersprungen — eine berühmte Klasse von Übernahme-Bugs. Server müssen den erwarteten Algorithmus festnageln.

Produktions-Tokens nirgends einfügen

Ein Session-Token ist ein Bearer-Credential: Wer ihn hält, handelt bis zum Ablauf als Sie. Ein live Token in einen unbekannten Dekoder einzufügen übergibt die Session an diese Seite. Zum Prüfen ein Tool nutzen, das lokal im Browser dekodiert — wie unseren JWT-Dekoder, der nichts sendet — und grundsätzlich lieber Test-Tokens.

Kurze Checkliste

• exp prüfen, bevor man dem Token vertraut
• Algorithmus gegen die Servererwartung prüfen
• Jeden Token als lesbar behandeln, niemals als geheim

Token sicher inspizieren: lokal dekodieren — Header und Payload erscheinen sofort, nichts wird übertragen.