الحالة
صالح
التوكن
التوقيع معروض فقط، ولا يُتحقق منه. التحقق يحتاج مفتاحك السري أو العام، وهذه الصفحة لا تطلبه أبدًا.
لا يوجد توكن بعد هنا تظهر الحالة وموعد الانتهاء والملاحظات.
الصق JWT، واعرف هل هو صالح وما المشكلة فيه.
التوقيع معروض فقط، ولا يُتحقق منه. التحقق يحتاج مفتاحك السري أو العام، وهذه الصفحة لا تطلبه أبدًا.
لا يوجد توكن بعد هنا تظهر الحالة وموعد الانتهاء والملاحظات.
الحالة
JSON Web Token سلسلة موقّعة يعطيك إياها الخادم بعد تسجيل الدخول. فيها ثلاثة أجزاء بينها نقاط: الـ header، والـ payload وفيه حقول مثل هويتك وموعد انتهاء التوكن، ثم التوقيع.
يُفك التوكن داخل هذه الصفحة في متصفحك، ولا يُرسل لأي مكان. تقدر تتأكد من لوحة Network في المتصفح: لن ترى أي طلب. ومع ذلك، عامل توكنات الإنتاج معاملة كلمات المرور في أي موقع.
التحقق يحتاج مفتاحك السري أو العام، ولا ينبغي لأي صفحة ويب أن تطلبه. الـ header والـ payload مرمّزان بـ Base64url فقط، فيُقرآن بلا مفتاح، والتوقيع هو ما يمنع أي أحد من تعديلهما.
يقارن ساعة جهازك بحقل exp، وبحقل nbf للتوكن الذي لم يبدأ وقته، حسب RFC 7519: التوكن منتهٍ من الثانية المذكورة في exp بالضبط.
alg: none يعني أن التوكن غير موقّع ويجب ألا يُقبل. وغياب exp يعني أنه لا ينتهي أبدًا. أما jku أو x5u، أو kid يشبه مسار ملف، في الـ header فقد توجّه خادمًا غير حذر إلى مفتاح المهاجم.
لا. يُفك التوكن داخل هذه الصفحة في متصفحك، ولا يُرسل ولا يُحفظ في أي مكان.