JWT (JSON Web Token)

Ein JSON Web Token überträgt Claims in einem kompakten Format. Diese Plattform verwendet signierte JWTs im JWS-Kompaktformat mit drei Base64url-Segmenten für Header, Payload und Signatur. JWT unterstützt auch JWE-Verschlüsselung; nicht jedes JWT besteht aus drei lesbaren Teilen.

So funktioniert es

Das Token wird als Bearer-Zugangsdaten gesendet. Der Prüfer muss erlaubte Algorithmen einschränken, die Signatur mit einem vertrauenswürdigen Schlüssel verifizieren und die für seine Anwendung erforderlichen Angaben zu Aussteller, Zielgruppe und Gültigkeitszeitraum prüfen. Dekodierbarkeit allein schafft kein Vertrauen.

Das Missverständnis

Eine Signatur verschlüsselt keine JWS-Payload. Wer dieses Übungstoken besitzt, kann sie lesen. JWT unterstützt Verschlüsselung mittels JWE. Ein eigenständiges Token wird nicht automatisch widerrufen: sofortiger Widerruf benötigt zusätzliche Kontrollen wie Sperrlisten, Token-Versionen oder Introspektion.

Probieren Sie es hier aus

`POST /auth/v1/login` mit admin/admin123 erzeugt ein gültig signiertes JWT. Dekodieren Sie das mittlere Segment und lesen Sie Ihre eigenen Ansprüche; warten Sie dann, bis die Gültigkeit abläuft, und beobachten Sie die Fehlermeldung 401.

Quellen

Weitere Begriffe

Bearer-Token — Ein Ausweisdokument, bei dem allein der Besitz Zugang gewährt – wer es besitzt, kann es benutzen.
JWKS — Ein JSON Web Key Set – die öffentlichen Schlüssel, die ein Aussteller veröffentlicht, damit jeder die von ihm signierten Token überprüfen kann.
Aktualisierungstoken — Ein langlebiges Benutzerkonto, das ausschließlich dazu dient, neue, kurzlebige Zugriffstoken zu erhalten, ohne dass sich der Benutzer erneut anmelden muss.
OAuth 2.0 — Das Standard-Framework, das es einer Anwendung ermöglicht, ein eingeschränktes Zugriffstoken zu erhalten, anstatt das Passwort des Benutzers zu verwalten.
PKCE — Proof Key for Code Exchange – ein einmaliges Geheimnis, das verhindert, dass ein gestohlener OAuth-Autorisierungscode von jemand anderem eingelöst werden kann.
OpenID Connect — Eine Identitätsschicht über OAuth 2.0, die dem Client in Form eines signierten ID-Tokens mitteilt, wer der Benutzer ist.

Diese Seite auf Englisch lesen

Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs

Zuletzt aktualisiert 16. Oktober 2026