JWT token nedir ve nasıl çalışır?

JWT (JSON Web Token), taraflar arasında JSON nesnesi olarak güvenli bilgi aktarmak için kullanılan açık bir standarttır (RFC 7519). Üç bölümden oluşur: Header (algoritma bilgisi), Payload (iddialar/veriler) ve Signature (doğrulama imzası). Her bölüm Base64url ile kodlanmış ve nokta (.) ile ayrılmıştır. Sunucu, imzayı gizli anahtarla doğrulayarak token'ın değiştirilmediğinden emin olur.

JWT'yi decode etmek güvenli mi? Gizli veriler açıkta mı kalır?

JWT'nin payload kısmı yalnızca Base64url ile kodlanmıştır — şifreli değildir. Bu araçla veya herhangi bir Base64 decoder ile kolayca okunabilir. Bu nedenle JWT payload'ına şifre, kredi kartı numarası gibi hassas veriler ASLA konulmamalıdır. JWT'nin güvenliği içeriklerin gizliliğine değil, imzanın doğrulanmasına dayanır. Bu araç tamamen tarayıcıda çalışır; token sunucuya gönderilmez.

JWT'deki exp, iat ve nbf claim'leri ne anlama gelir?

exp (Expiration Time): Token'ın geçersiz sayılacağı Unix timestamp. Bu süre geçtikten sonra sunucu token'ı reddetmelidir. iat (Issued At): Token'ın oluşturulduğu an. nbf (Not Before): Token'ın geçerli olmaya başlayacağı an — bu zamandan önce kullanılamaz. Hepsinde değer Unix timestamp (1970'ten saniye cinsinden geçen süre) olarak saklanır.

JWT imzası bu araçla doğrulanabilir mi?

Hayır. İmza doğrulaması için token'ı imzalayan sunucunun gizli anahtarına ihtiyaç vardır; bu anahtar tarayıcıda bulunmaz ve bulunmamalıdır. Bu araç yalnızca decode eder — header ve payload içeriklerini gösterir, bitiş tarihini hesaplar. İmzanın geçerliliğini doğrulamak için kendi sunucunuzda ilgili JWT kütüphanesini kullanmanız gerekir.

Geliştirici Aracı

JWT Decoder

JSON Web Token'ı anında çözün. Header, payload ve imza bölümlerini görün, bitiş tarihini kontrol edin.

Tüm işlem tarayıcınızda gerçekleşir, sunucuya veri gönderilmez. Yine de production token'larını paylaşmaktan kaçının.

JWT Token

JWT'nin Üç Bölümü

Bir JWT token'ını kopyalayıp herhangi bir yere yapıştırdığınızda üç nokta ile ayrıldığını görürsünüz. Her bölüm Base64url ile kodlanmış JSON verisidir:

Header: Kullanılan imza algoritmasını (HS256, RS256 vb.) ve token tipini (JWT) içerir.
Payload: Token'ın taşıdığı verilerdir — kullanıcı kimliği, e-posta, rol, bitiş tarihi gibi claim'ler burada yer alır.
Signature: Header ve payload'ın gizli anahtar ile imzalanmış halidir. Değiştirme girişimlerini tespit eder.

JWT Ne Zaman Sorun Olur?

JWT yaygın kullanıldığı kadar sıkça yanlış da kullanılır. Dikkat edilmesi gereken en kritik noktalar şunlardır: Token'ı yalnızca HttpOnly cookie'de saklamak (localStorage XSS'e karşı korumasızdır). Payload'a hassas veri koymamak (şifre, PIN, kart numarası asla). Bitiş süresi (exp) koymayı ihmal etmemek — süresi dolmayan token sonsuza dek geçerli kalır ve çalınma durumunda iptal edilemez.

Sık Sorulan Sorular

JWT'yi iptal etmek (revoke) mümkün mü?

Stateless JWT mimarisinde token süresi dolana kadar iptal etmek doğrudan mümkün değildir. Çözüm yolları şunlardır: Kısa ömürlü access token + revoke listesi (token blacklist) tutmak; JWT ID (jti claim) ile Redis gibi hızlı bir depoda geçersiz token'ları işaretlemek; ya da refresh token mekanizması kullanarak access token ömrünü çok kısa tutmak (örneğin 5-15 dakika).

RS256 ile HS256 arasındaki fark nedir?

HS256 (HMAC SHA-256) simetrik algoritmadır; imzalamak ve doğrulamak için aynı gizli anahtar kullanılır. RS256 (RSA SHA-256) asimetrik algoritmadır; private key ile imzalanır, public key ile doğrulanır. Mikroservis mimarilerinde RS256 tercih edilir; bu sayede her servis token'ı public key ile doğrulayabilir, ancak yalnızca yetkili servis imzalayabilir. HS256 monolitik uygulamalar için yeterlidir.

İlgili araçlar: UUID Oluşturucu · Cron Expression · Regex Tester