Decodifica JWT
Leggi intestazione e contenuto di un token JWT nel tuo browser, senza inviarlo ad alcun server.
Privato: funziona nel tuo browser e ciò che scrivi non viene mai inviato. Come verificarlo
I tuoi file vengono elaborati qui, sul tuo dispositivo
Non inviamo il contenuto dei tuoi file o testi a nessun server: tutto viene elaborato nella memoria del browser. Non serve un account, non c’è un limite giornaliero e non usiamo analitica né tracker. Ogni strumento ha limiti di dimensione per proteggere la memoria del dispositivo.
La connessione serve solo per caricare il sito. Dopo puoi disconnetterti e gli strumenti continuano a funzionare (alcune anteprime potrebbero richiedere la connessione). L’hosting può ricevere dati tecnici delle visite. I preferiti salvano solo identificatori di strumenti in questo browser.
Come trattiamo i tuoi dati →Come utilizzare questo strumento
- Incolla il token completo, con le sue tre parti.
- Decodifica e controlla intestazione e contenuto.
- Verifica la scadenza e ricorda che la firma non viene verificata.
Un esempio che puoi verificare
Leggi il contenuto di un token JWT senza inviarlo ad alcun server.
Esempio di input
A sample token with a name, issue time and expiry.
Risultato atteso
The header, the JSON payload and key facts: algorithm, issue time, expiry and state.
Decodificare non convalida il token. Per fidarti, verifica la firma sul tuo server con la chiave dell’emittente.
Decodifica JWT: usi e guida pratica
Un JWT (JSON Web Token) è una stringa con tre parti separate da punti: intestazione, contenuto e firma. Le prime due sono JSON codificato in Base64URL, non cifrato, quindi chiunque abbia il token può leggerle. Per questo un JWT non deve contenere segreti come password. Questo strumento decodifica entrambe le parti nel tuo browser e le mostra formattate, con l’algoritmo dichiarato e le date di emissione e scadenza in UTC.
Decodificare non significa convalidare. La firma garantisce che il contenuto non sia stato alterato e che lo abbia emesso chi possiede la chiave, ma verificarla richiede quella chiave e avviene sul server che riceve il token. Un token con firma errata si decodifica comunque. Le informazioni mostrate servono quindi per il debug e per capire un’integrazione, non per decidere se una richiesta è affidabile.
Lo stato indica se la data di scadenza è già passata rispetto all’orologio del tuo dispositivo. Un token può non avere scadenza o avere un inizio di validità futuro. Anche se tutto è elaborato localmente, tratta con cautela i token reali: incollarli in una chat, in un documento condiviso o in un sito esterno può dare accesso a chi li vede. In caso di dubbio usa un token di prova e revoca quello esposto.
Quando fai il debug di un’integrazione, parti dall’algoritmo e dalle date. Un algoritmo inatteso, come none, è un segnale d’allarme in qualsiasi sistema che riceva token. Se un token viene rifiutato, confronta la scadenza con l’ora del server, perché un orologio sfasato spiega molti errori intermittenti. Controlla anche emittente e destinatari, che devono coincidere con ciò che il tuo servizio si aspetta. Quando condividi un esempio in una segnalazione, sostituisci dati personali e firma con valori fittizi: un token reale, anche scaduto, può rivelare identificativi interni.
Un controllo pratico prima di utilizzare il risultato
Cambia una lettera della firma del token di esempio: si decodifica comunque, il che dimostra che lo strumento non verifica le firme. Cambia una lettera del contenuto e osserva come cambia il JSON o compare un errore di formato.
Opzioni e limiti
Incolla un token con le sue tre parti separate da punti (il prefisso Bearer è accettato). Vengono decodificati intestazione e contenuto e si mostrano algoritmo, data di emissione, scadenza e se è già scaduto. La firma non viene verificata: leggere un token non dimostra che sia autentico. Tutto avviene sul tuo dispositivo.
Domande frequenti
Controlla che il token sia valido?
No. Decodificare significa solo leggere dati codificati in Base64URL. Per sapere se il token è autentico bisogna verificarne la firma con la chiave dell’emittente sul tuo server.
Guide
Scopri le tre parti di un JWT, che cosa significa ogni data e perché decodificare un token non equivale a convalidarlo.
Usa la scheda Rete del browser e la modalità offline per vedere se uno strumento per PDF, immagini o video carica il tuo file, e cosa può e non può dimostrare questa prova.