OAuth टोकन डिकोडर

ब्राउज़र में चलता है सुरक्षा

JWT रूप वाले OAuth 2.0 एक्सेस टोकन और OIDC ID टोकन डिकोड करें, जिनमें स्कोप, azp, nonce, auth_time तथा Azure AD, Auth0, Keycloak, Google और Okta के प्रोवाइडर-विशिष्ट क्लेम समझाए जाते हैं।

गोपनीयता: यह टूल पूरी तरह आपके ब्राउज़र में चलता है। आपका इनपुट कभी आपके डिवाइस से बाहर नहीं जाता।

टोकन से API ऑथेंटिकेशन कैसे काम करता है?

ज़्यादातर API हर रिक्वेस्ट को हेडर में भेजे गए क्रेडेंशियल से ऑथेंटिकेट करते हैं: बेयरर टोकन (अक्सर OAuth 2.0 फ़्लो से जारी JWT), API की, या TLS पर Basic क्रेडेंशियल। सर्वर हर कॉल पर उसे जाँचता है — सिग्नेचर, एक्सपायरी, ऑडियंस, स्कोप — और गायब या अमान्य होने पर 401 तथा मान्य पर अनुमति न होने पर 403 देता है। ऑथेंटिकेशन टेस्ट करने का मतलब इन सभी रास्तों को आज़माना है, सिर्फ़ हैप्पी पाथ नहीं।

सुरक्षा नोट: टूटा ऑथेंटिकेशन और टूटा ऑब्जेक्ट-लेवल ऑथराइज़ेशन OWASP API सुरक्षा सूची में सबसे ऊपर हैं। जाँचें कि एक्सपायर्ड, छेड़छाड़ किया गया या दूसरे यूज़र का टोकन अस्वीकार होता है, और हर ऑब्जेक्ट id कॉलर के विरुद्ध जाँचा जाता है — सिर्फ़ एंडपॉइंट नहीं।

गाइड पढ़ें: JWT क्या है? JSON Web Token समझें

OAuth टोकन डिकोडर कैसे इस्तेमाल करें

  1. अपने OAuth रिस्पॉन्स (या Authorization हेडर) से access_token या id_token कॉपी करें।
  2. उसे पेस्ट करें और टोकन सारांश पढ़ें: प्रकार, प्रोवाइडर, issuer, audience और वैधता।
  3. वास्तव में दी गई अनुमतियाँ पक्की करने के लिए स्कोप तालिका देखें।
  4. प्रोवाइडर-विशिष्ट फ़ील्ड समझने के लिए क्लेम तालिका इस्तेमाल करें।

OAuth टोकन डिकोडर की खूबियाँ

  • ID टोकन, एक्सेस टोकन, logout टोकन और DPoP प्रूफ़ की पहचान करता है
  • Azure AD (Entra ID), Auth0, Keycloak, Google, Okta, Cognito, Firebase और Apple के टोकन पहचानता है
  • scope/scp वैल्यू और प्रोवाइडर-विशिष्ट क्लेम (tid, oid, azp, realm_access, gty, hd…) समझाता है
  • issuer, audience, क्लाइंट, subject, ऑथेंटिकेशन का समय और तरीक़े दिखाता है
  • लाइफ़टाइम सहित वैधता सारांश; याद दिलाता है कि ID टोकन को bearer टोकन की तरह किसी API पर नहीं भेजना चाहिए
  • पूरी क्लेम तालिका और साथ में कच्चा हेडर तथा पेलोड JSON

OAuth टोकन डिकोडर का उदाहरण

Azure AD v2.0 एक्सेस टोकन

इनपुट:

{"aud":"api://orders","iss":"https://login.microsoftonline.com/<tenant>/v2.0","scp":"Orders.Read Orders.Write openid profile","tid":"<tenant>","oid":"<object-id>","azp":"<client-id>","ver":"2.0", …}

आउटपुट:

Token type: Access token · Provider: Azure AD (Microsoft Entra ID)
Audience: api://orders · Client: <client-id> · Tenant: <tenant>
Scopes: Orders.Read, Orders.Write, openid (requests an ID token), profile (basic profile claims)

OAuth टोकन डिकोडर के बारे में अक्सर पूछे जाने वाले सवाल

ID टोकन और एक्सेस टोकन में क्या अंतर है?

ID टोकन (OpenID Connect) क्लाइंट ऐप्लिकेशन को बताता है कि उपयोगकर्ता कौन है और वह सिर्फ़ क्लाइंट के लिए होता है। एक्सेस टोकन किसी API (रिसोर्स सर्वर) पर कॉल करने की अनुमति देता है। टूल typ, nonce, scope और प्रोवाइडर-विशिष्ट क्लेम से टोकन का प्रकार अनुमानित करता है।

मेरा एक्सेस टोकन JWT नहीं है — क्या उसे डिकोड किया जा सकता है?

नहीं। कई प्रोवाइडर (GitHub, तथा Google और Auth0 के कुछ कॉन्फ़िगरेशन) अपारदर्शी टोकन जारी करते हैं जो बस यादृच्छिक स्ट्रिंग होते हैं। उन्हें सिर्फ़ जारीकर्ता ही अपने token-introspection एंडपॉइंट के ज़रिए समझा सकता है।

प्रोवाइडर की पहचान कैसे होती है?

issuer URL और विशिष्ट क्लेम से: Azure AD (Entra ID) के लिए tid/oid, Keycloak के लिए realm_access, Auth0 के लिए gty/permissions, Google के लिए hd, Okta के लिए uid/cid, Cognito के लिए token_use, इत्यादि।

scope और scp का क्या मतलब है?

दोनों टोकन को दी गई अनुमतियाँ सूचीबद्ध करते हैं। scope स्पेस से अलग किया गया मानक रूप है (RFC 6749/8693); scp का इस्तेमाल Azure AD और Okta करते हैं। जिन स्कोप का अर्थ ज्ञात है, उन्हें समझाया जाता है।

तकनीकी नोट्स

OAuth 2.0 कोई टोकन फ़ॉर्मेट अनिवार्य नहीं करता, पर ज़्यादातर प्रोवाइडर RFC 9068 (typ "at+jwt", client_id, scope) के अनुसार JWT एक्सेस टोकन और OIDC ID टोकन (nonce, at_hash, auth_time, amr) जारी करते हैं। प्रोवाइडर की पहचान issuer होस्ट और विशिष्ट क्लेम से होती है; कुछ भी मेल न खाने पर भी टोकन पूरी तरह डिकोड हो जाता है।

संदर्भ

  • RFC 6750: The OAuth 2.0 Authorization Framework: Bearer Token UsageIETF · 2012बेयरर टोकन कैसे भेजा जाता है (Authorization: Bearer …) और रिसोर्स सर्वर कौन-सी एरर रिस्पॉन्स लौटाता है।
  • RFC 6749: The OAuth 2.0 Authorization FrameworkIETF · 2012OAuth 2.0 की भूमिकाएँ, ग्रांट टाइप और टोकन एंडपॉइंट जो एक्सेस और रिफ़्रेश टोकन जारी करते हैं।
  • RFC 9700: Best Current Practice for OAuth 2.0 SecurityIETF · 2025OAuth 2.0 के लिए वर्तमान सुरक्षा मार्गदर्शन: पब्लिक क्लाइंट के लिए PKCE, सटीक रीडायरेक्ट मिलान, सेंडर-कंस्ट्रेन्ड टोकन।
  • RFC 7519: JSON Web Token (JWT)IETF · 2015JWT फ़ॉर्मेट — हेडर, पेलोड, सिग्नेचर — और रजिस्टर्ड क्लेम iss, sub, aud, exp, nbf, iat और jti को परिभाषित करता है।