Decodificatore JWT
Decodifica e ispeziona i JSON Web Token (header, payload, firma, claim, scadenza e avvisi di sicurezza) in modo sicuro nel tuo browser.
Cosa C'è Dentro un JWT?
Un JSON Web Token (JWT) è composto da tre parti codificate in Base64URL separate da punti — un header che descrive l'algoritmo di firma, un payload di claim (come un ID utente o una scadenza) e una firma. Questo strumento decodifica e mostra tutte e tre le parti per permetterti di ispezionare il contenuto di un token.
Come Usare il Decoder JWT
- Incolla un JWT nel campo di input.
- L'header e il payload vengono decodificati e mostrati automaticamente.
- Controlla i valori dei claim come la scadenza (exp), la data di emissione (iat) e il soggetto (sub), insieme all'algoritmo di firma.
- Controlla l'indicatore dello stato di scadenza per vedere se il token è ancora valido, in scadenza a breve o già scaduto.
Note Tecniche
- Questo strumento decodifica un JWT — non ne verifica la firma. La decodifica rivela solo ciò che un token dichiara; verificare che un token sia autentico e non alterato richiede il controllo della firma rispetto al secret o alla chiave pubblica corretti, cosa che questo strumento non fa intenzionalmente.
- Poiché l'header e il payload di un JWT sono solo codificati (non cifrati), chiunque abbia il token può leggerne il contenuto — non inserire mai segreti nel payload di un JWT.
- Un token con alg impostato su "none" non ha alcuna firma e non deve mai essere considerato autentico da nessun sistema.
Domande frequenti
Questo strumento verifica che un JWT sia autentico?+
No. Decodifica e mostra intestazione, payload e claim, e segnala la scadenza e alg=none, ma non controlla la firma. Un token decodificato mostra solo ciò che dichiara; dimostrarne l'autenticità richiede di verificare la firma con la chiave segreta o pubblica dell'emittente sul tuo server.
Il payload di un JWT è cifrato?+
No. Intestazione e payload sono solo codificati in Base64URL, quindi chiunque possieda il token può leggerli. Non inserire mai password, segreti o dati personali sensibili nel payload di un JWT.
Cosa significa "alg": "none" in un token?+
Significa che il token non ha alcuna firma. Un token simile non offre alcuna garanzia di integrità o autenticità e deve essere rifiutato da qualsiasi sistema che si affida ai JWT per l'autenticazione.