Decodificatore JWT Gratis: Ispezionare Token JWT Online Subito

A Modificare il payload invalida la firma. La firma è un hash crittografico dell'header e del payload codificati, combinati con una chiave segreta. Cambiare anche un solo carattere nel payload fa sì che la firma non corrisponda. Questo è lo scopo dei JWT — rilevare manomissioni. Immagina una busta sigillata con un timbro di cera. Il nostro strumento mostra il contenuto, ma qualsiasi modifica rende il token completamente invalido.

A Il claim 'iat' (issued at) è un timestamp Unix in secondi. Se l'orologio del tuo sistema è scollegato di più di qualche minuto, vedrai una data futura. La maggior parte dei server tollera uno scostamento di 30-60 secondi. Controlla prima la sincronizzazione dell'ora del tuo dispositivo — è la causa più comune. Il nostro strumento converte quel timestamp in una data leggibile in modo da individuare subito le discrepanze.

A Gestisce in modo affidabile i JWT standard. Ma un token con punti mancanti, padding Base64 non valido o caratteri estranei genera un chiaro errore di parsing — vedi esattamente dove si blocca. Ad esempio, se il payload contiene un '=' extra, lo strumento evidenzia la discrepanza. Utile per il debug di token difettosi da API di terze parti. Inizia con un token correttamente codificato per evitare falsi allarmi.

A Sì, assolutamente. Un JWT è come una chiave digitale — chiunque lo possieda può impersonare l'utente fino alla scadenza. Ecco perché non dovresti mai incollare token di produzione su siti casuali. Il nostro strumento funziona interamente lato client, il tuo token non lascia mai il tuo computer. Usa HTTPS, imposta scadenze brevi (15 minuti o meno) e revoca i token lato server. Un JWT trapelato con validità di 24 ore è un serio rischio per la sicurezza.

A Il claim 'nbf' (not before) indica che il token non è valido prima di quel timestamp. I server lo rifiutano se usato troppo presto, cosa comune per sfasamenti d'orologio tra sistemi. Controlla se l'orologio dell'emittente è sincronizzato via NTP. Il nostro strumento converte quel timestamp Unix nel tuo fuso orario locale. Se 'nbf' è 30 secondi avanti, attendi prima di testare.

A Incolla il tuo token nell'area di testo, poi premi 'Decodifica' — i risultati compaiono nel pannello a destra, mai nella console del browser. Non viene generata nessuna richiesta di rete, quindi non apparirà nella scheda Rete degli strumenti di sviluppo. Un dettaglio: se copi il token dalla barra degli indirizzi, assicurati di prendere la stringa completa, non una versione troncata. Alcuni URL hanno parametri di query che possono tagliare la firma. Io poi svuoterei gli appunti se sei su una macchina condivisa.

A Vedrai un banner di avviso chiaro in cima al pannello dei risultati, e la sezione firma mostrerà un indicatore rosso di non corrispondenza. Header e payload vengono comunque decodificati, ma non devi fidarti di nessuna di quelle claim. Se stai testando una risposta API e ottieni questo, probabilmente il token è stato alterato durante il transito o firmato con un segreto diverso. Il nostro strumento non verifica la firma crittograficamente, quindi non indovina perché differiscono. Controlla la tua chiave di firma e la stringa esatta del token — uno spazio extra o un carattere mancante è di solito la causa.

A Probabilmente non lo sono: uno spazio finale o un padding Base64URL differente basta a cambiarli. Anche un solo carattere diverso nella firma modifica l'output. Detto questo, header e payload vengono decodificati separatamente: se coincidono, anche i claim saranno uguali. Ma se confronti token di due login diversi, i campi 'iat' e 'jti' quasi sempre differiscono. Il nostro strumento mostra il conteggio dei caratteri sotto ogni sezione decodificata, così noti subito l'anomalia. Prima di dare la colpa al server, confronta le stringhe originali.

A Cerca il campo 'exp' nella sezione payload subito dopo aver incollato il token. Questo timestamp Unix indica il secondo esatto in cui la sessione scade, ad esempio 1715000000. Il nostro strumento converte automaticamente quel numero nel tuo orario locale per evitarti calcoli manuali. Se quel momento è già passato, le tue chiamate restituiranno un errore 401. Controlla sempre questo valore quando riscontri problemi di autenticazione.

A I tuoi token non lasciano mai il browser quando li incolli qui. Il decoder funziona interamente sul lato client tramite JavaScript, il che significa che zero dati vengono inviati a server esterni. Puoi verificarlo controllando la scheda di rete del browser durante la decodifica di un token. Gli sviluppatori backend che testano token di produzione sensibili possono usarlo in sicurezza.