Decodificatore JWT Gratis: Ispezionare Token JWT Online Subito

A JSON Web Token: standard per trasmettere informazioni verificabili. Tre parti: header.payload.signature.

A No, 100% locale nel browser.

A No, solo decodifica il contenuto.

A Decodificare una firma JWT significa semplicemente che lo strumento scompone la stringa codificata nelle sue parti: header, payload e la firma stessa. È come aprire una busta sigillata per vedere cosa c'è dentro. Verificare la firma, invece, serve a controllare se il token è stato effettivamente emesso dalla parte prevista. Il nostro strumento decodifica, ma non verifica, poiché la verifica della firma richiede la chiave segreta o pubblica, che non dovresti esporre.

A Modificare il payload invalida la firma. La firma è un hash crittografico dell'header e del payload codificati, combinati con una chiave segreta. Cambiare anche un solo carattere nel payload fa sì che la firma non corrisponda. Questo è lo scopo dei JWT — rilevare manomissioni. Immagina una busta sigillata con un timbro di cera. Il nostro strumento mostra il contenuto, ma qualsiasi modifica rende il token completamente invalido.

A Il claim 'iat' (issued at) è un timestamp Unix in secondi. Se l'orologio del tuo sistema è scollegato di più di qualche minuto, vedrai una data futura. La maggior parte dei server tollera uno scostamento di 30-60 secondi. Controlla prima la sincronizzazione dell'ora del tuo dispositivo — è la causa più comune. Il nostro strumento converte quel timestamp in una data leggibile in modo da individuare subito le discrepanze.

A Gestisce in modo affidabile i JWT standard. Ma un token con punti mancanti, padding Base64 non valido o caratteri estranei genera un chiaro errore di parsing — vedi esattamente dove si blocca. Ad esempio, se il payload contiene un '=' extra, lo strumento evidenzia la discrepanza. Utile per il debug di token difettosi da API di terze parti. Inizia con un token correttamente codificato per evitare falsi allarmi.

A Sì, assolutamente. Un JWT è come una chiave digitale — chiunque lo possieda può impersonare l'utente fino alla scadenza. Ecco perché non dovresti mai incollare token di produzione su siti casuali. Il nostro strumento funziona interamente lato client, il tuo token non lascia mai il tuo computer. Usa HTTPS, imposta scadenze brevi (15 minuti o meno) e revoca i token lato server. Un JWT trapelato con validità di 24 ore è un serio rischio per la sicurezza.

A Il claim 'nbf' (not before) indica che il token non è valido prima di quel timestamp. I server lo rifiutano se usato troppo presto, cosa comune per sfasamenti d'orologio tra sistemi. Controlla se l'orologio dell'emittente è sincronizzato via NTP. Il nostro strumento converte quel timestamp Unix nel tuo fuso orario locale. Se 'nbf' è 30 secondi avanti, attendi prima di testare.

A Incolla il tuo token nell'area di testo, poi premi 'Decodifica' — i risultati compaiono nel pannello a destra, mai nella console del browser. Non viene generata nessuna richiesta di rete, quindi non apparirà nella scheda Rete degli strumenti di sviluppo. Un dettaglio: se copi il token dalla barra degli indirizzi, assicurati di prendere la stringa completa, non una versione troncata. Alcuni URL hanno parametri di query che possono tagliare la firma. Io poi svuoterei gli appunti se sei su una macchina condivisa.