---
title: "JWT Çözücü"
description: "JSON Web Token header ve payload kısımlarını çözer. İmza doğrulamaz."
url: https://sade.dev/tr/tools/jwt-decoder/
lang: tr
author: "Muhammet Şafak"
published: 2026-04-02
updated: 2026-09-06
section: Tool
tags: ["jwt","auth","security"]
---

# JWT Çözücü

> JSON Web Token header ve payload kısımlarını çözer. İmza doğrulamaz.

JWT (JSON Web Token) imzalanmış hâliyle (JWS) üç parçadan oluşur: header, payload ve
signature. Üç parça nokta (`.`) ile ayrılmıştır ve base64url ile encode edilmiştir.

Bu araç token'ı parçalarına ayırır, header ve payload'u JSON olarak gösterir,
signature'ı ham haliyle bırakır.

## Önemli uyarı

**Bu araç imzayı doğrulamaz.** Bir token'ın "decode edilebiliyor olması" geçerli
olduğu anlamına gelmez. Üretimde her zaman:

1. İmzayı sunucu tarafında doğrulayın (HS256 ise ortak secret, RS256 ise public key).
2. `exp` (expiration) ve `nbf` (not-before) claim'lerini kontrol edin.
3. `iss` ve `aud` claim'lerini beklediğiniz değerlerle karşılaştırın.

Bu kontrolleri yapmadan payload içeriğine güvenmek **kimlik doğrulamasını
atlamaktan farksız**.

## Yaygın claim'ler

- `iss` — token'ı üreten (issuer).
- `sub` — token'ın atıfta bulunduğu özne (subject), genelde user ID.
- `aud` — token'ın hangi taraf için üretildiği (audience).
- `exp` — geçerlilik süresi (Unix timestamp).
- `iat` — üretildiği zaman (Unix timestamp).
- `nbf` — kullanılabilir olduğu en erken zaman.
- `jti` — benzersiz token ID — replay attack tespiti için.

## JWS vs JWE

Bu araç sadece **JWS** (imzalanmış ama şifrelenmemiş) token'larla çalışır.
**JWE** (şifrelenmiş) token'lar üç değil beş parçaya ayrılır; araç bu yüzden
payload'a hiç bakmadan parça sayısı kontrolünde reddeder.

## Gizlilik

Yapıştırdığınız token tamamen tarayıcınızda işlenir. Üretim token'larınızı yine
de yapıştırmamanızı öneririm — token, sızabilir bir alanda durduğu sürece risktir
(history, clipboard, ekran paylaşımı).