Decoder JWT
Decodifica e ispeziona i JSON Web Token (JWT) con analisi dettagliata dei claim
Struttura del token
00
Algoritmo
—
Claim
0
Stato del token
—
Incolla il tuo token JWT qui...
01
Che cos’è un JWT?
Un JSON Web Token, o JWT, è una stringa compatta che contiene dei claim, per esempio chi è un utente e quando scade il suo accesso. Ha tre parti separate da punti: header, payload e firma. Header e payload sono JSON codificati in Base64 URL-safe, quindi chiunque può leggerli. La firma permette a un server di verificare che il token non sia stato modificato.
Questo decoder divide il token, mostra header e payload come JSON formattato e trasforma i claim exp, iat e nbf in date leggibili, con lo stato di scadenza aggiornato dal vivo. Si limita a decodificare e non verifica la firma. Il token viene decodificato nel browser e non viene mai caricato, quindi puoi ispezionare token di produzione senza inviarli a terzi.
02
Come decodificare un JWT
- Incolla il token nel campo, oppure fai clic su Carica esempio per provarne uno.
- Leggi l’header per conoscere l’algoritmo di firma e il tipo di token.
- Leggi il payload per i claim, con le date mostrate nella tua ora locale.
- Controlla lo stato del token per vedere se è attivo o scaduto.
- Copia l’header o il payload come JSON se ti serve altrove.
03
Domande frequenti sul decoder JWT
- Cosa sono header, payload e firma di un JWT?
- L’header indica l’algoritmo di firma, come HS256 o RS256, e il tipo di token. Il payload contiene i claim: quelli registrati come sub, iss, aud ed exp, più eventuali dati personalizzati. La firma è calcolata da header e payload con un segreto o una chiave privata, quindi qualsiasi modifica a una delle due parti la invalida.
- È sicuro incollare un JWT qui?
- Il token viene decodificato in questa scheda del browser e non viene mai inviato a un server, registrato o salvato, quindi incollare qui un token di produzione non lo espone. Tratta comunque i token come password: chiunque abbia un token valido può usarlo fino alla scadenza. Svuota il campo quando hai finito ed evita di condividere screenshot del payload.
- Cosa significano exp, iat e nbf?
- Sono timestamp Unix in secondi. exp è la scadenza, dopo la quale il token va rifiutato. iat indica quando il token è stato emesso, e nbf il momento prima del quale non va accettato. Il decoder mostra ciascuno come data nella tua ora locale. Per convertire altri timestamp usa il Convertitore timestamp Unix.
- Questo strumento verifica la firma del JWT?
- No. Decodifica header e payload ma non controlla la firma, quindi un token decodificato non è una prova che sia autentico. La verifica richiede il segreto per gli algoritmi HMAC, o la chiave pubblica per RSA ed ECDSA, e va fatta sul tuo server con una libreria JWT mantenuta.
04