أداة فك تشفير وتصحيح JWT مجاناً

يقوم مفكك JWT بتقسيم الرمز إلى أجزائه الثلاثة — الرأس، الحمولة، و التوقيع — ثم يقوم بفك تشفير الرأس والحمولة المرمزين بـ Base64URL حتى تتمكن من قراءة المطالبات والبيانات الوصفية الفعلية بداخله، مثل الخوارزمية المستخدمة، والموضوع، ووقت انتهاء الصلاحية.

لا. فك التشفير يكشف فقط عن المحتوى القابل للقراءة للرمز — ولا يتطلب أي مفتاح سري ولا يثبت أي شيء حول موثوقيته. أما التحقق (Verification) فيقوم بفحص التوقيع مقابل مفتاح سري أو مفتاح عام للتأكد من أن الرمز أصلي ولم يتم العبث به. يمكن لأي شخص فك تشفير JWT؛ لكن الشخص الذي يمتلك المفتاح الصحيح فقط هو من يمكنه التحقق منه.

لا. الرأس والحمولة في JWT يتم ترميزهما بـ Base64URL فقط، وليستا مشفرتين، لذلك يمكن لأي شخص فك تشفيرهما وقراءتهما بدون أي مفتاح. يلزم وجود مفتاح سري أو عام فقط للتحقق من صحة التوقيع، وليس لفك تشفير المحتوى القابل للقراءة.

لا. تعمل هذه الأداة بالكامل داخل متصفحك باستخدام JavaScript وواجهة برمجة تطبيقات Web Crypto API. لا يتم إرسال رمزك، مفتاحك السري، ومفتاحك العام إلى أي مكان أبداً. يمكنك التحقق من ذلك بنفسك من خلال فحص علامة تبويب الشبكة (Network) في متصفحك أثناء استخدام الأداة.

نعم. يدعم هذا المفكك التحقق من التوقيع لخوارزميات HMAC (HS256, HS384, HS512) باستخدام سر مشترك، ولخوارزميات المفتاح العام (RS256/384/512، ES256/384/512، PS256/384/512) باستخدام مفتاح عام بتنسيق PEM.

تتضمن رموز JWT عادةً مطالبة exp — وهي طابع زمني بنظام Unix يحدد متى يتوقف الرمز عن كونه صالحاً. إذا كان الوقت الحالي قد تجاوز ذلك الطابع الزمني، فإن الرمز يعتبر منتهي الصلاحية ويجب رفضه من قبل أي خادم يقوم بفحصه، حتى لو كان التوقيع نفسه لا يزال صالحاً.

الخوارزمية "none" تعني أن الرمز يدعي أنه لا يحتوي على توقيع على الإطلاق. تُعد هذه ثغرة معروفة وموثقة في JWT — فبعض المكتبات ذات التكوين الضعيف ستقبل هذه الرموز كرموز صالحة دون فحص أي شيء، مما يسمح للمهاجم بتزوير مطالبات عشوائية. يجب على أنظمة الإنتاج دائماً رفض الرموز غير الموقعة.