Decodificatore JWT

Incolla un JWT per vedere il suo header, payload e scadenza. Nessun token viene inviato da nessuna parte. La firma NON viene verificata, usa solo per ispezione.

Come funziona Decodificatore JWT

Decodificatore JWT divide un JSON Web Token nelle sue tre parti, intestazione, payload e firma, e visualizza l'intestazione e il payload come JSON formattato. La decodifica viene eseguita localmente nel browser decodificando in base64url ogni parte: il token non viene mai inviato ad alcun server. Lo strumento non esegue la verifica della firma; mostra solo il contenuto dei claim del token.

Questa distinzione è importante per la sicurezza: vedere un JWT decodificato ti indica i claim che contiene (ID utente, scadenza, ruoli, ambiti) ma non conferma che il token sia stato emesso da un'autorità legittima o non sia stato manomesso. La verifica della firma richiede la chiave pubblica dell'emittente o il segreto condiviso, che non dovresti mai incollare in uno strumento pubblico. Usa questo decodificatore solo per l'ispezione e il debug.

Scritto da Bastien Sulyan

Come usare Decodificatore JWT, passo dopo passo

Incolla la stringa JWT completa (tre segmenti base64url separati da punti) nel campo di input.
Le sezioni intestazione e payload appaiono immediatamente come JSON formattato.
Controlla il campo «exp» nel payload per vedere il timestamp di scadenza (secondi Unix epoch).
Il segmento firma viene visualizzato così com'è; questo strumento non lo verifica.

Casi d'uso comuni

Uno sviluppatore che esegue il debug di un problema di autenticazione deve leggere i claim all'interno di un JWT per confermare che gli ambiti e i ruoli corretti siano presenti.
Un ingegnere QA controlla il campo «exp» di un token di accesso per verificare che la scadenza sia impostata alla durata prevista.
Un revisore della sicurezza ispeziona un JWT da un servizio di terze parti per capire quali dati utente codifica prima di accettarlo.
Un ingegnere backend risolve un errore 401 controllando se il claim «aud» (audience) del token corrisponde all'identificatore API previsto.

Domande frequenti

Questo strumento verifica la firma JWT?

No. Lo strumento decodifica solo in base64url i segmenti dell'intestazione e del payload per visualizzarne il contenuto come JSON. La verifica della firma richiede la chiave segreta o pubblica dell'emittente, che non dovresti incollare qui. Un payload decodificato che sembra valido può comunque avere una firma non valida; verifica sempre la firma lato server usando una libreria JWT affidabile.

Il mio token JWT viene trasmesso a qualche server quando lo incollo qui?

No. La decodifica consiste in tre chiamate ad atob (o TextDecoder sui byte grezzi) eseguite interamente nel motore JavaScript del browser. Nulla di ciò che incolli qui lascia la scheda del browser. Questo è l'unico modo sicuro per ispezionare un JWT contenente claim utente privati: completamente locale, senza richieste di rete.

Qual è la differenza tra i segmenti intestazione, payload e firma?

Un JWT ha tre segmenti codificati in base64url separati da punti. L'intestazione identifica l'algoritmo usato per firmare il token (ad esempio HS256 o RS256). Il payload contiene i claim: fatti sul soggetto e metadati aggiuntivi (scadenza, emittente, audience, claim personalizzati). La firma è un valore crittografico calcolato dall'intestazione e dal payload usando la chiave dell'emittente; è ciò che consente al destinatario di verificare che il token non sia stato alterato.

Cosa significa «exp» nel payload?

Il claim «exp» è il tempo di scadenza del token, espresso come timestamp Unix (secondi interi dal 1° gennaio 1970 UTC). Se l'orario corrente è maggiore di «exp», il token è scaduto e dovrebbe essere rifiutato da qualsiasi server che lo valida. Questo strumento mostra il valore numerico grezzo; puoi convertirlo usando lo strumento timestamp su questo sito. Il badge scaduto o valido confronta quel numero con l'orologio del tuo stesso dispositivo, quindi una macchina con l'ora sbagliata giudicherà male anche il token. È un'indicazione, mai un sostituto del server che verifica davvero la firma.

Posso decodificare un token opaco o di riferimento con questo strumento?

No. I token opachi (a volte chiamati token di riferimento) sono stringhe casuali che non contengono dati utente; devono essere inviati all'endpoint di introspezione dell'emittente per recuperare i claim associati. Questo strumento funziona solo con JWT auto-contenuti nel formato standard a tre parti.

Strumenti correlati

Mantieni tutto locale, esplora gli strumenti complementari.

Tutti gli strumenti per sviluppatori