JWT Çözücü (Decoder)

JWT Nedir ve Hangi Bölümlerden Oluşur?

JWT (JSON Web Token), iki taraf arasında bilgileri güvenli ve kompakt biçimde taşımak için kullanılan, noktayla ayrılmış üç bölümden oluşan bir dizedir: header, payload ve signature. Modern web uygulamalarında oturum yönetimi ve API yetkilendirmesi için yaygın olarak tercih edilir. JWT çözücü aracı, bu token'ın header ve payload bölümlerini Base64URL kodundan çözüp okunabilir JSON olarak gösterir; böylece içinde hangi bilgilerin taşındığını saniyeler içinde görebilirsiniz.

JWT Çözücü Nasıl Kullanılır?

Elinizdeki token'ı (genellikle eyJ ile başlar) kutuya yapıştırmanız yeterlidir. Araç noktalara göre üç parçaya ayırır, header ve payload'u çözer ve biçimlendirilmiş JSON olarak ekrana getirir.

1. Token'ı, Authorization başlığındaki "Bearer" kelimesini dahil etmeden yapıştırın.
2. Header bölümünde imza algoritmasını (alg) ve token tipini (typ) görün.
3. Payload bölümünde kullanıcı kimliği, roller ve sona erme zamanı gibi iddiaları (claims) inceleyin.

Header, Payload ve İmza Ne Anlama Gelir?

Header, token'ın türünü ve hangi imza algoritmasıyla (örneğin HS256 veya RS256) imzalandığını belirtir. Payload, taşınan asıl veriyi içerir ve standart iddialardan oluşur:

• sub: token'ın ait olduğu özne, genellikle kullanıcı kimliği.
• exp: Unix timestamp olarak sona erme zamanı.
• iat: token'ın oluşturulduğu zaman.
• iss ve aud: token'ı yayınlayan taraf ve hedef kitle.

Üçüncü bölüm olan imza ise header ve payload'un gizli anahtarla üretilmiş kriptografik özetidir. Bu araç imzayı doğrulamaz; yalnızca insan tarafından okunamayan ilk iki bölümü çözer.

Güvenlik İpuçları

• JWT'nin payload'u şifreli değildir, yalnızca kodlanmıştır. Bu nedenle parola gibi hassas verileri token içinde taşımayın.
• Token'ları yetkili kişilerle dahi paylaşmayın; geçerli bir token, sona erene kadar erişim sağlar.
• Sona erme süresini (exp) makul tutun ve yenileme (refresh) token mekanizması kullanın.

Sık Yapılan Hatalar

İlk yaygın hata, kodlanmış olmayı şifrelenmiş sanmaktır; herkes payload'u çözüp okuyabilir. İkinci hata, imza doğrulamasını atlamaktır: bir token'ı kabul etmeden önce sunucu tarafında imzasının geçerliliğini mutlaka kontrol edin. Üçüncü hata ise exp alanını göz ardı edip süresi dolmuş token'ları kabul etmektir. Çözme işlemi tamamen tarayıcınızda gerçekleşir, token'ınız hiçbir sunucuya gönderilmez. Geliştirici iş akışınızı kolaylaştıracak diğer ücretsiz araçlar için kataloğumuza bakabilirsiniz.