طريقة الاستخدام
- 1الصق رمز JWT؛ تُحذف البادئة Bearer تلقائيًا.
- 2اقرأ الترويسة (Header) والحمولة (Payload) بصيغة JSON منسقة، والخوارزمية المستخدمة.
- 3راجع exp وiat وnbf كتواريخ مقروءة مع حالة الرمز: صالح أو منتهي الصلاحية أو غير صالح بعد.
- 4للتحقق من توقيع HMAC أدخل المفتاح السري.
هل JWT مشفّر فعلًا؟
يتكون JWT من ثلاثة أجزاء مفصولة بنقاط: header.payload.signature. الجزءان الأولان مرمّزان بـ base64url وليسا مشفّرين، لذلك يمكن لأي شخص يملك الرمز قراءة محتواه، وهذا ما تفعله الأداة. التوقيع يضمن فقط أن المحتوى لم يُعدَّل. لهذا لا تضع كلمات مرور أو بيانات حساسة داخل الحمولة.
التواريخ والتحقق من التوقيع
الحقول exp (تاريخ الانتهاء) وiat (تاريخ الإصدار) وnbf (صالح بدءًا من) طوابع زمنية بالثواني، وتعرضها الأداة كتاريخ ووقت بتوقيتك المحلي مع المدة النسبية مثل «قبل ساعتين». ويمكن التحقق من توقيعات HS256 وHS384 وHS512 بإدخال المفتاح السري نصًا أو مرمّزًا بـ base64 عبر Web Crypto في المتصفح. خوارزميات المفتاح العام مثل RS256 وES256 لا يمكن التحقق منها هنا، والرمز ذو alg: none غير موقّع ولا يجب الوثوق به.
تنبيه أمني
يتم فك الترميز والتحقق داخل متصفحك فقط ولا يُرسل الرمز إلى أي خادم. ومع ذلك فالعادة الآمنة ألا تلصق رموزًا حقيقية من بيئة الإنتاج أو مفاتيح سرية حقيقية في أي أداة على الويب، لأن الرمز الصالح يمنح صلاحية الدخول إلى أن تنتهي مدته.
الأسئلة الشائعة
هل يمكن فك JWT دون المفتاح السري؟
نعم، قراءة الترويسة والحمولة لا تحتاج إلى مفتاح. المفتاح مطلوب فقط للتحقق من صحة التوقيع.
لماذا يظهر أن الرمز منتهي الصلاحية؟
لأن وقت exp أصبح في الماضي حسب ساعة جهازك. تحقق أيضًا من صحة ساعة جهازك.
هل يدعم التحقق من RS256؟
لا، تدعم الأداة التحقق من توقيعات HMAC فقط (HS256 وHS384 وHS512)، لكنها تفك ترميز أي JWT بغض النظر عن الخوارزمية.
هل يُحفظ الرمز الذي ألصقه؟
لا، تتم المعالجة داخل متصفحك ولا يُرسل الرمز أو يُحفظ.
النتائج غير مرضية؟
تواصل مع Webin Agency لمواقع سريعة متوافقة مع السيو، ومتاجر إلكترونية، وإدارة إعلانات Google.