Decodificatore JWT
Decodificare ed esaminare JSON Web Tokens con spiegazioni delle attestazioni
Provi un esempio
Incolli un JWT per esaminarne header, claim e firma.
Firma non verificata. La decodifica non stabilisce che un token sia autentico o attendibile.
Validità temporale del token
—
- Algoritmo
- —
- Emesso il
- —
- Non valido prima di
- —
- Scade il
- —
Claim registrati
Informazioni sul Decodificatore JWT
Il Decodificatore JWT è uno strumento online gratuito che decodifica all'istante qualsiasi JSON Web Token nelle sue tre parti: Header, Payload e Signature. I JSON Web Token (JWT) sono uno standard aperto (RFC 7519) usato per trasmettere informazioni in modo sicuro tra le parti sotto forma di oggetti JSON compatti e autonomi. Sono la base dell'autenticazione e dell'autorizzazione moderne in applicazioni web, API e microservizi.
Ogni JWT è composto da tre segmenti codificati in Base64URL separati da punti. L'Header indica l'algoritmo di firma (come HS256 o RS256) e il tipo di token. Il Payload contiene i claim, cioè coppie chiave-valore con dati utente, permessi, scadenze e altri metadati. La Signature garantisce che il token non sia stato manomesso e può essere verificata solo con il segreto o la chiave pubblica corretti.
Questo strumento decodifica i JWT interamente nel browser, senza passaggi dal server, quindi i token non vengono mai trasmessi né memorizzati all'esterno. Controlla anche lo stato di scadenza, formatta i timestamp in date leggibili e fornisce spiegazioni per i registered claim standard come iss, sub, aud, exp, iat e nbf.
Funzioni principali
- Decodifica immediata di qualsiasi JWT nelle sezioni Header, Payload e Signature
- Controllo automatico della scadenza con banner di stato chiaro: "Token non scaduto", "Token non ancora attivo" o "Token scaduto"
- Formattazione leggibile dei timestamp Unix (exp, iat, nbf) con indicazione del fuso orario
- Spiegazioni per tutti i registered claim standard (iss, sub, aud, exp, nbf, iat, jti)
- Pulsanti di copia con un clic per header, payload e signature separatamente
- Decodifica in tempo reale mentre si digita o si incolla, con gestione dell'input ritardata (debounce)
- Sezioni con codice colore: blu per l'Header, viola per il Payload, arancione per la Signature
- Badge dell'algoritmo (HS256, RS256, ES256 e altri) ben visibile nel banner di stato
- Token di esempio per test e dimostrazioni rapide
- Elaborazione al 100% lato client, senza invio di dati a nessun server
Come usare lo strumento
- Incolli il JWT: copi un JSON Web Token dalla Sua applicazione, da una risposta API, dagli strumenti per sviluppatori del browser o dal sistema di autenticazione e lo incolli nel campo di input.
- Visualizzi le sezioni decodificate: lo strumento divide subito il token in Header, Payload e Signature, mostrando ciascuna parte in un pannello formattato e con codice colore.
- Controlli la scadenza: un banner di stato in alto indica se il token è ancora valido o è scaduto, con la data di scadenza esatta e il conto alla rovescia.
- Legga le spiegazioni dei claim: i registered claim standard come iss, sub, exp e iat sono corredati di descrizioni, così è chiaro il significato di ogni campo.
- Copi le sezioni: usi il pulsante di copia di una qualsiasi sezione per copiare il JSON formattato negli appunti, per la documentazione o il debug.
- Provi un esempio: faccia clic sul pulsante "Token di esempio" per caricare un JWT predefinito e vedere come funziona il decodificatore prima di incollare i Suoi token.
Casi d'uso
- Debug dell'autenticazione: ispezioni rapidamente i JWT restituiti dal server di autenticazione per verificare che claim, ruoli e permessi siano impostati correttamente.
- Sviluppo di API: decodifichi gli access token durante l'integrazione di API per confermare che il payload contenga l'ID utente, gli scope e la scadenza attesi.
- Audit di sicurezza: esamini i token alla ricerca di esposizione di dati sensibili, algoritmi deboli (come "none") o scadenze eccessivamente lunghe.
- Apprendimento e didattica: capisca la struttura dei JWT decodificando token di esempio e leggendo le descrizioni dei claim fornite dallo strumento.
- Risoluzione dei problemi di scadenza dei token: stabilisca se gli errori di autenticazione dipendono da token scaduti confrontando il claim exp con l'ora corrente.
- Debug dei microservizi: ispezioni i token scambiati tra i servizi per verificare che quelli a monte emettano JWT strutturati correttamente e con i claim giusti.
- Validazione dei flussi OAuth: decodifichi gli ID token e gli access token dei flussi OAuth 2.0 e OpenID Connect per verificare i valori di issuer, audience e scope.
- Documentazione: copi il JSON decodificato di header e payload nella documentazione delle API o nei runbook per illustrare le strutture di token attese.
Domande frequenti
Questo strumento è gratuito?
Sì. Il Decodificatore JWT è completamente gratuito, senza account, senza limiti di utilizzo e senza pubblicità che ne ostacolino le funzioni.
I miei dati sono al sicuro?
Certamente. Tutta la decodifica avviene nel browser con JavaScript. Il JWT non viene mai inviato a un server, quindi lo strumento è sicuro anche per ispezionare i token di produzione.
Lo strumento verifica la firma del JWT?
No. La verifica della firma richiede la chiave segreta (per HMAC) o la chiave pubblica (per RSA/ECDSA), operazione che non si può eseguire in sicurezza in un browser lato client. Per la validazione della firma usi librerie lato server.
Qual è la differenza tra HS256 e RS256?
HS256 è un algoritmo simmetrico che usa un unico segreto condiviso sia per firmare sia per verificare. RS256 è un algoritmo asimmetrico che usa una chiave privata per firmare e una chiave pubblica per verificare, ideale per i sistemi distribuiti.
Posso decodificare JWT cifrati (JWE)?
Questo strumento decodifica i JWT firmati (JWS). I JWT cifrati (JWE) richiedono una chiave di decifratura e non sono supportati da questo decodificatore.
Perché il mio token risulta scaduto?
Lo strumento confronta il claim exp (scadenza) con l'ora di sistema corrente. Se il timestamp di scadenza è nel passato, il token viene contrassegnato come scaduto. Verifichi che l'orologio di sistema sia accurato.
Consigli e buone pratiche
- Usi token di breve durata: imposti scadenze da 15 a 60 minuti per gli access token e li abbini a refresh token sicuri e solo HTTP per mantenere la continuità della sessione.
- Non salvi mai segreti nel payload: i JWT sono codificati, non cifrati. Chiunque abbia il token può decodificarne il payload, quindi non vi includa mai password, numeri di carte di credito o altri dati sensibili.
- Validi sempre lato server: decodificare un JWT nel browser è utile per il debug, ma verifichi sempre la firma sul backend prima di fidarsi di qualsiasi claim.
- Usi algoritmi asimmetrici nei sistemi distribuiti: scelga RS256 o ES256 quando più servizi devono verificare i token in modo indipendente senza condividere una chiave segreta.
- Tenga d'occhio la dimensione dei token: payload grandi aumentano la dimensione degli header delle richieste e possono rallentare le chiamate API. Mantenga i claim al minimo e usi riferimenti (come gli ID utente) invece di incorporare interi profili utente.
- Ruoti regolarmente le chiavi di firma: implementi strategie di rotazione usando il parametro di header kid (Key ID) per passare da una chiave di firma all'altra senza invalidare tutti i token esistenti.