Il nostro decodificatore JWT analizza i JSON Web Token e mostra l'intestazione, il payload e la firma in una vista chiara e formattata. Visualizza tutti i claim standard (iss, sub, aud, exp, iat, nbf, jti) con timestamp leggibili dall'uomo. Controlla se i token sono scaduti, visualizza le informazioni sull'algoritmo e copia le singole sezioni. Supporta gli algoritmi HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512 e PS256. 100% lato client — i tuoi token non vengono mai inviati ad alcun server.
Incolla il tuo token JWT (la stringa lunga con due punti) nel campo di input.
Visualizza l'algoritmo e il tipo di token dall'intestazione JWT.
Visualizza tutte le attestazioni inclusi timestamp, soggetto, emittente e dati personalizzati.
Controlla se il token è scaduto e quando è stato emesso.
Un JWT è costituito da tre parti codificate in Base64URL separate da punti. L'intestazione specifica l'algoritmo di firma (ad es. HS256, RS256). Il payload contiene le attestazioni (claims): attestazioni registrate come 'exp' (scadenza), 'iat' (emesso il), 'sub' (soggetto) e personalizzate. La firma viene creata firmando l'intestazione e il payload codificati con una chiave segreta o privata.
JWT = Base64URL(Header) + '.' + Base64URL(Payload) + '.' + Signature
I token JWT NON sono crittografati: chiunque può leggere il payload decodificandolo in Base64
Controlla sempre il claim 'exp': i token scaduti dovrebbero essere rifiutati dalla tua API
I claim 'iat' (emesso il) e 'nbf' (non prima di) aiutano a prevenire attacchi di tipo replay
HS256 utilizza un segreto condiviso; RS256 utilizza coppie di chiavi pubblica/privata: RS256 è più sicuro per i sistemi distribuiti
Non memorizzare mai dati sensibili (password, carte di credito) nei payload JWT
Le dimensioni del token contano: i JWT vengono inviati con ogni richiesta HTTP nell'intestazione Authorization
Usa tempi di scadenza brevi (15-60 min) con i token di aggiornamento per una maggiore sicurezza
La nostra calcolatrice online gratuita per JWT analizza i JSON Web Token e mostra intestazione, payload e firma in una vista chiara e formattata. Controlla i tempi di scadenza, visualizza tutte le attestazioni e ispeziona i dettagli del token. 100% lato client: i tuoi token non lasciano mai il tuo browser.
Incolla qualsiasi token JWT e visualizza istantaneamente intestazione e payload decodificati come JSON formattato.
La nostra calcolatrice online:
La visualizzazione a colori consente di distinguere facilmente le tre parti del JWT.
Esegui il debug dei problemi dei JWT controllando i tempi di scadenza, i timestamp di emissione e i valori delle attestazioni.
Il nostro strumento mostra se i token sono scaduti, quanto manca alla scadenza ed evidenzia potenziali problemi.
Essenziale per:
Un JSON Web Token (JWT) è un modo compatto e sicuro per URL per rappresentare attestazioni trasferite tra due parti, definito dallo standard RFC 7519 dell'IETF.
Un JWT ha tre parti separate da punti, ciascuna codificata in Base64URL secondo la RFC 4648:
Questa struttura consente ai servizi di verificare l'identità senza interrogare un database, motivo per cui i JWT sono comuni nell'autenticazione stateless e nei flussi OpenID Connect.
Per decodificare un JWT, dividi il token in corrispondenza dei suoi due punti in tre segmenti, quindi decodifica in Base64URL i primi due.
Il primo segmento produce il JSON dell'intestazione e il secondo produce il JSON del payload, entrambi leggibili come testo semplice secondo la RFC 8259.
Base64URL (RFC 4648, sezione 5) sostituisce '+' con '-' e '/' con '_' e omette il padding, quindi un normale decodificatore Base64 potrebbe non funzionare senza modifiche. Il nostro strumento gestisce la cosa automaticamente e formatta il risultato.
Il terzo segmento, la firma, non viene decodificato in testo perché è un valore crittografico greggia.
Come nota MDN Web Docs, la decodifica non è una verifica: leggere un payload non conferma mai che il token sia autentico.
No: un normale JWT firmato (un JWS) è codificato, non crittografato, quindi chiunque sia in possesso del token può leggerne il payload.
La codifica Base64URL (RFC 4648) è reversibile e offre zero confidenzialità; rende semplicemente possibile il trasporto sicuro per i dati binari. La firma descritta nella RFC 7515 (JSON Web Signature) protegge integrità e autenticità, non la segretezza.
Se hai bisogno di nascondere i contenuti, utilizza invece JWE (JSON Web Encryption, RFC 7516).
OWASP e l'IETF sottolineano entrambi questa distinzione: non inserire mai password, segreti API o dati personali identificabili nel payload di un JWT firmato, poiché un decodificatore come questo rivela ogni attestazione in chiaro senza alcuna chiave.
Le attestazioni JWT registrate sono standardizzate dalla RFC 7519 affinché i diversi sistemi le interpretino in modo coerente.
Il set principale include:
I valori exp, nbf e iat sono valori NumericDate (secondi trascorsi dall'epoca Unix), che il nostro decodificatore converte in date leggibili dall'uomo. Le applicazioni aggiungono attestazioni personalizzate (private) per ruoli, ambiti o ID tenant.
Secondo le specifiche, i verificatori devono rifiutare un token il cui 'exp' è scaduto o il cui 'aud' non corrisponde al destinatario previsto, prevenendo usi impropri tra servizi.
Gli algoritmi di firma JWT sono definiti nella RFC 7518 (JSON Web Algorithms) e identificati dal valore 'alg' dell'intestazione.
Il NIST pubblica gli standard SHA-2 e ECDSA sottostanti. La nostra calcolatrice online legge il campo 'alg' in modo da poter confermare quale schema utilizza un token.
I JWT sono ampiamente utilizzati per l'autenticazione stateless, l'autorizzazione e lo scambio sicuro di informazioni nelle API moderne.
Dopo che un utente effettua il login, un server rilascia un JWT firmato che il client restituisce nell'intestazione HTTP Authorization come Bearer token, secondo la specifica RFC 6750. Poiché la firma è auto-contenuta, i servizi di backend possono verificare il token senza interrogare un archivio di sessione, migliorando la scalabilità.
I JWT alimentano anche i token ID di OpenID Connect e i pattern di access-token di OAuth 2.0.
Gli sviluppatori utilizzano i decoder durante il debug per ispezionare i claim, confermare i valori di audience e issuer e controllare la scadenza quando un'API restituisce errori 401. Come descritto dalla documentazione MDN Web Docs, questo flusso basato su token è alla base di molte architetture single-sign-on e a microservizi.
L'uso sicuro dei JWT si concentra sulla convalida dell'algoritmo, sulla verifica della firma e sull'imposizione della scadenza.
OWASP mette in guardia contro il classico attacco 'alg: none' e gli attacchi di confusione di algoritmo, in cui un server indotto a trattare una chiave pubblica RS256 come un segreto HMAC può essere falsificato; bisogna sempre vincolare l'algoritmo atteso anziché fidarsi dell'intestazione.
Pratiche chiave:
Seguire queste raccomandazioni di IETF e OWASP elimina le vulnerabilità dei JWT più sfruttate.
Gli errori più comuni quando si lavora con i JWT includono:
Verificare le firme lato server con la chiave e l'algoritmo attesi evita queste insidie.
Questo decoder JWT elabora i token interamente lato client, quindi il tuo token non lascia mai il tuo dispositivo né raggiunge alcun server.
Poiché un JWT firmato è semplicemente codificato in Base64URL (RFC 4648), la decodifica non richiede alcuna chiamata di rete: l'intestazione e il payload vengono semplicemente invertiti dalla loro forma codificata utilizzando JavaScript nel tuo browser.
Mantenere l'operazione locale è fondamentale per la sicurezza: i token contengono spesso credenziali di sessione attive e incollarli in uno strumento lato server potrebbe esporli nei log o in transito. OWASP consiglia di ridurre al minimo i luoghi in cui viaggiano le credenziali sensibili.
Un decoder basato solo sul browser consente agli sviluppatori di ispezionare in sicurezza i token di produzione durante il debug, rispettando al contempo i principi di minima esposizione, senza trasmettere dati di autorizzazione a terze parti.
Data sourced from trusted institutions
All formulas verified against official standards.