Decodificatore JWT
Incolla un JSON Web Token per leggerne il contenuto, controllare se è scaduto e verificarne la firma.
Sigillato su questo dispositivo
Funziona nel tuo browser. Non viene caricato nulla.
Sigillato
Decodifica e verifica avvengono su questo dispositivo. Il token non viene mai inviato altrove.
Decodificato
Header, payload e date del tuo token appariranno qui.
Header
Payload
Claim registrati
Verifica la firma (facoltativo)
Decodifica prima un token. Il suo algoritmo indica quale chiave serve.
PEM (-----BEGIN PUBLIC KEY-----) o JWK in JSON. Non incollare mai una chiave privata in un sito di cui non ti fidi.
Come funziona
-
Incolla il token
Incolla un JWT da un header Authorization, da un cookie o dai tuoi log. Un «Bearer» iniziale viene ignorato.
-
Leggi il contenuto
Header e payload vengono mostrati come JSON formattato, con exp, iat e nbf convertiti in date nel tuo fuso orario.
-
Verifica se serve
Inserisci il segreto condiviso o incolla la chiave pubblica per confermare la firma, senza che il token lasci il tuo dispositivo.
Domande frequenti
È sicuro incollare qui un token reale?
Il token viene decodificato e verificato nel tuo browser e non viene mai inviato a nessun server. Tuttavia un token è come una password temporanea: evita di condividerlo e revocalo se è stato esposto altrove.
Chiunque può leggere il contenuto di un JWT?
Sì. Un JWT firmato standard è solo codificato in Base64url, non cifrato, quindi chiunque lo possieda può leggerne il payload. La firma dimostra soltanto che nessuno l’ha modificato. Non mettere mai segreti nel payload di un JWT.
Perché dice che il mio token è scaduto?
Il claim exp contiene l’ora di scadenza, in secondi dal 1° gennaio 1970 (UTC). Se quel momento è passato secondo l’orologio del tuo dispositivo, il token è scaduto e i server dovrebbero rifiutarlo.
Quali firme si possono verificare?
HMAC (HS256, HS384, HS512) con un segreto condiviso, e RSA (RS256–512, PS256–512) e curve ellittiche (ES256, ES384, ES512) con una chiave pubblica in formato PEM o JWK. La verifica usa il Web Crypto integrato nel tuo browser.
Cosa significano iss, sub e aud?
Sono claim standard: iss indica chi ha emesso il token, sub a chi si riferisce (spesso un ID utente) e aud a chi è destinato. Gli altri campi del payload sono specifici dell’applicazione che ha creato il token.