JWT Decoder और Encoder: JSON Web Token तुरंत चेक और जनरेट करें

अपने ब्राउज़र में तुरंत ही किसी भी JWT टोकन को डिकोड करें या बिल्ट-इन एन्कोडर से अपना खुद का टोकन जनरेट करें। हेडर, पेलोड, स्पष्ट क्लेम विवरण, एक्सपायरी स्थिति और लाइव काउंटडाउन देखें - कोई खाता नहीं, कोई लॉगिन नहीं, डेटा कभी आपका ब्राउज़र नहीं छोड़ता।

100% ब्राउज़र-बेस्ड · नो सर्वर · बिना लॉगिन के काम करता है

पिछला अपडेट: अप्रैल 2026

JWT टोकन पेस्ट करें0 अक्षर (Characters)

100% मुफ़्त और सुरक्षित

सभी काम आपके ब्राउज़र में होता है। हम कभी डेटा सर्वर पर नहीं भेजते।

ब्राउज़र आधारितकोई सर्वर लॉग नहींकोई हिस्ट्री नहीं

JWT (JSON Web Token) क्या है?

A JWT (RFC 7519) एक सुरक्षित, URL-सेफ टोकन फॉर्मेट है जो दो पार्टीज के बीच डेटा ट्रांसफर करने के लिए उपयोग किया जाता है। JWT आमतौर पर लॉगिन और ऑथेंटिकेशन (Stateless Auth) के लिए प्रयोग होता है जिससे सर्वर को बार-बार डेटाबेस चेक करने की जरूरत नहीं पड़ती।

एक JWT टोकन में तीन Base64url-एनकोडेड हिस्से होते हैं, जो डॉट्स (.) द्वारा अलग होते हैं:

हेडर (Header)

यह बताता है कि टोकन टाइप (JWT) क्या है और इसमें कौन सा alg (जैसे HS256) उपयोग हुआ है।

पेलोड (Payload)

इसमें Claims होते हैं - जैसे यूजर आईडी, ईमेल और एक्सपायरी डेट। चेतावनी: यह एनक्रिप्टेड नहीं होता, बस एनकोडेड होता है। इसमें कभी भी पासवर्ड न रखें!

सिग्नेचर (Signature)

हेडर और पेलोड के साथ बनाई गई एक डिजिटल साइन, जो यह कन्फर्म करती है कि टोकन के बीच से कोई छेड़खानी नहीं हुई है।

REST APIs, सिंगल-पेज ऐप्स (React, Vue) और मोबाइल बैकएंड में इसका बड़े पैमाने पर इस्तेमाल होता है। प्राइवेट डेटा के लिए JWE (JSON Web Encryption) का इस्तेमाल करें।

ऑनलाइन JWT टोकन कैसे डीकोड करें?

अपने JWT टोकन को ऑथेंटिकेशन हेडर या कुकीज़ (Cookies) से कॉपी करें
उसे ऊपर इनपुट बॉक्स में पेस्ट करें (टोकन 'eyJ' से शुरू होना चाहिए)
सिस्टम तुरंत हेडर और पेलोड दिखाएगा। सभी प्रॉपर्टीज़ को पढ़ें।
Token Status बैनर में एक्सपायरी और वैलिडिटी का लाइव काउंटडाउन चेक करें
Security Audit पैनल पर क्लिक करके रिस्क वार्निंग चेक करें
RFC डेफिनेशन के अनुसार 'Claims Breakdown' टेबल का उपयोग करके अपने JWT क्लेम्स के बारे में डिटेल में समझें
नीचे दिए गए Verification Snippets वाले सेक्शन से JS, Python, Go या Java का कोड छांटें और उपयोग करें।

JWT Claims: sub, iss, aud, exp, iat, nbf, jti

sub - Subject (sub) - वह यूजर जिसके बारे में टोकन है। (RFC 7519 §4.1.2)
iss - Issuer (iss) - टोकन को बनाने वाला सर्वर या प्लेटफार्म। (RFC 7519 §4.1.1)
aud - Audience (aud) - वे रिसोर्स जिन्हें यह टोकन एक्सेप्ट करना है। (RFC 7519 §4.1.3)
exp - Expiration Time (exp) - वह टाइम जिसके बाद टोकन अमान्य हो जाएगा। (RFC 7519 §4.1.4)
iat - Issued At (iat) - टोकन के बनाए जाने का Unix टाइमस्टैम्प। (RFC 7519 §4.1.6)
nbf - Not Before (nbf) - वह समय जिससे पहले टोकन मान्य नहीं होगा। (RFC 7519 §4.1.5)
jti - JWT ID (jti) - टोकन का यूनिक आईडी जो Replay attacks से बचाता है। (RFC 7519 §4.1.7)

JWT vs Session Tokens: कौन सा बेहतर है?

	JWT (Stateless)	Session Token (Stateful)
सर्वर में डेटाबेस स्टोर	नहीं (नो स्टोर)	हां (सेशन स्टोर)
माइक्रोसर्विसेस सपोर्ट	बहुत अच्छा और आसान	मुश्किल और जटिल
टोकन को डिलीट/ब्लॉक करना	कठिन (ब्लॉकलिस्ट चाहिए)	आसान (सर्वर से हटा दें)
टोकन का साइज़	बड़ा साइज़	बहुत छोटा
सबसे अच्छा उपयोग	API, मोबाइल ऐप बैकएंड	ट्रेडिशनल वेबसाइट्स
टोकन चोरी होने पर सिक्योरिटी	एक्सपायरी तक खतरा	लॉगआउट करके खत्म कर सकते हैं

JWT का उपयोग करें: जब आप Stateless REST API बना रहे हों और आपको टोकन सभी सर्वर में बांटने हों।

Sessions चुनें: जब आप एक नॉर्मल वेबसाइट बना रहे हों और आपको यूज़र्स को तुरंत सिस्टम से बाहर निकालना हो।

JWT के Algorithms: HS256, RS256, और ES256

Algorithm (एल्गोरिथम)	Type (प्रकार)	Key (चाबी)	कब यूज करें?
HS256	HMAC-SHA256	सेक्रेट की (Secret)	सिंगल वेब एपीआई के लिए (आसान)
RS256	RSA-SHA256	पब्लिक और प्राइवेट की	बड़े डिस्ट्रीब्यूटेड प्लेटफार्म (मल्टी-सर्वर)
ES256	ECDSA P-256	Elliptic Curve Key	सिक्योर और मोबाइल डिवाइस फ्रेंडली
PS256	RSA-PSS SHA256	पब्लिक और प्राइवेट की	बहुत हाई-सिक्योरिटी (FIPS)
none	बिना किसी एल्गोरिथम के	None	⚠️ कभी नहीं (यह एक बहुत बड़ा हैक रिस्क है)

RS256 सबसे बेहतरीन विकल्प है क्योंकि आप अपनी प्राइवेट साइनिंग की छुपाकर पब्लिक की को आसानी से हर जगह क्लाइंट्स को बाँट सकते हैं।

JWT सिक्योरिटी बेस्ट प्रैक्टिसेज (सिक्योरिटी रूल्स 2026)

सर्वर पर कोई क्लेम मानने से पहले हमेशा उसकी Signature (सिग्नेचर) को डिकोड करके वेरिफाई करें।
एक्सपायरी डेट छोटी रखें - छोटी लाइफटाइम (15 मिनट) होने पर हैकर्स के लिए टोकन चुराना बेकार हो जाता है।
JWT के पेलोड में पासवर्ड या बैंक की डिटेल्स जैसी व्यक्तिगत जानकारी कभी न रखें। यह एनक्रिप्टेड नहीं होता।
हैकर्स से बचने के लिए इसे हमेशा एन्क्रिप्टेड HTTPS कनेक्शन पर ही भेजें।
XSS (क्रॉस-साइट स्क्रिप्टिंग) अटैक से बचने के लिए इसे लोकल स्टोरेज (localStorage) के बजाय httpOnly कुकीज़ में सेव करें।
लम्बे लॉगिन्स के लिए शॉर्ट-लाइफ Access Token और एक लंबा Refresh Token इस्तेमाल करें।
'iss' और 'aud' को हमेशा चेक करें ताकि कोई फेक टोकन इस्तेमाल न कर पाए।
alg: none वाले टोकन को देखते ही ब्लॉक कर दें क्योंकि हैकर्स बिना पासवर्ड के भी लॉग इन कर लेंगे।
अगर जल्दी डिलीट करना हो तो Redis-based ब्लॉकलिस्ट इंजन का प्रयोग करें।

कोड में JWT कैसे डीकोड करें?

ये उदाहरण टोकन की पेलोड जानकारी निकाल रहे हैं (सिग्नेचर चेक के साथ या बिना)।

JavaScript Node.js

// Decode without verification (read-only, same as this tool)
function decodeJWT(token) {
  const [header, payload] = token.split('.');
  const decode = str => JSON.parse(atob(str.replace(/-/g, '+').replace(/_/g, '/')));
  return { header: decode(header), payload: decode(payload) };
}

const { header, payload } = decodeJWT(yourToken);
console.log(payload.exp); // expiry timestamp

Python App

import base64, json

def decode_jwt_payload(token):
    payload = token.split('.')[1]
    # Add padding
    payload += '=' * (4 - len(payload) % 4)
    return json.loads(base64.urlsafe_b64decode(payload))

claims = decode_jwt_payload(your_token)
print(claims['exp'])  # expiry timestamp

Go API

import (
    "encoding/base64"
    "encoding/json"
    "strings"
)

func decodeJWTPayload(token string) (map[string]interface{}, error) {
    parts := strings.Split(token, ".")
    payload, _ := base64.RawURLEncoding.DecodeString(parts[1])
    var claims map[string]interface{}
    json.Unmarshal(payload, &claims)
    return claims, nil
}

JWT vs Session Tokens: आपको JWT क्यों उपयोग करना चाहिए?

JWT डेटाबेस हिट्स को कम कर देता है क्योंकि सारी पहचान की जानकारी टोकन के अंदर ही मौजूद होती है। इससे आपको बड़ी तेजी और बड़ी सिस्टम स्केलेबिलिटी (Scalability) मिलती है जो कि सेशन कुकीज़ के साथ मुश्किल होती है।

Frequently Asked Questions

JWT टोकन क्या होता है?

JWT (JSON Web Token) जानकारी को एक सिस्टम से दूसरे सिस्‍टम में सुरक्षित तरीके से भेजने का स्टैण्डर्ड तरीका है। इसमें 3 डॉट्स से अलग Base64url डेटा होता है। सर्वर इसका प्रयोग यूज़र को याद रखने और उन्हें लॉगिन रखने के लिया करते हैं।

मैं JWT टोकन डीकोड कैसे कर सकता हूँ?

बस अपने टोकन को ऊपर दिए गए टूल बॉक्स में पेस्ट करें। डिकोडर तुरंत आपको 100% प्राइवेसी के साथ पेलोड, हेडर और क्लेम्स बता देगा।

क्या बिना सीक्रेट की (Secret Key) के टोकन डीकोड हो सकता है?

हाँ बिल्कुल। JWT एनक्रिप्टेड नहीं होता, यह बस एक साधारण Base64url एनकोडेड डेटा है। बिना सीक्रेट की (Secret key) के आप डेटा पढ़ सकते हैं। सीक्रेट की सिर्फ इस बात के लिए चाहिए होती है कि टोकन के साथ कोई छेड़खानी न हुई हो।

क्या ऑनलाइन डिकोडर इस्तेमाल करना सुरक्षित है?

यह वाला डिकोडर 100% सुरक्षित है क्योंकि यह सारा काम आपके ब्राउज़र में करता है और डेटा कभी भी हमारे सर्वर पर नहीं जाता।

JWT टोकन एक्सपायर हो गया है, कैसे पता चलेगा?

जब आप इसे यहाँ पेस्ट करेंगे, तो टूल 'exp' क्लेम को पढ़ लेगा। अगर वह समय गुजर चुका है, तो आपको यह 'Expired' दिखा देगा।

Encode और Decode में क्या फर्क है?

एनकोडिंग का मतलब साधारण JSON डेटा को Base64url एन्कोडिंग का उपयोग करके 3 हिस्सों वाले सुरक्षित टोकन में बदलना है। डीकोड इसका उल्टा होता है - यानि टोकन को फिर से JSON में पढ़ना।

यहाँ 'alg' का क्या मतलब है?

Alg का अर्थ Algorithm होता है जो टोकन को सुरक्षित करने के लिए उपयोग किया जाता है। जैसे HS256 या RS256।

क्या JWT का पेलोड एन्क्रिप्ट (Encrypt) होता है?

नहीं। यह बस एनकोड (Encode) होता है। यदि आपको डेटा को गुप्त रखना है जिसे कोई दूसरा व्यक्ति न पढ़ सके, तो आपको JWT की जगह JWE (JSON Web Encryption) का उपयोग करना चाहिए।

टोकन 'Not Yet Valid (NBF)' बता रहा है, इसका क्या मतलब है?

NBF (Not Before) क्लेम का मतलब है कि यह टोकन एक भविष्य के समय पर काम करना शुरू करेगा, उससे पहले सर्वर इसे एक्सेप्ट नहीं करेगा।

exp और iat में क्या फर्क है?

iat (Issued At) वह समय है जब सिस्टम ने उस टोकन को बनाया था, और exp वह समय है जब टोकन ख़राब या अमान्य हो जायेगा।

क्या हम बिना HTTPS के JWT इस्तेमाल कर सकते हैं?

नहीं, बिल्कुल भी नहीं। हैकर्स सादे इंटरनेट पर JWT चुरा सकते हैं और यूज़र की तरह सिस्टम में लॉग इन कर सकते हैं। हमेशा इसे HTTPS के साथ ही सर्वर पर भेजें।

JWE और JWT में क्या अंतर है?

JWT में पेलोड सभी के पढ़ने के लिए खुला होता है, लेकिन JWE (JSON Web Encryption) पेलोड को पूरी तरह से एनक्रिप्ट कर देता है, जिसे सिर्फ डिक्रिप्शन की वाले लोग ही पढ़ सकते हैं।