Decodificatore e Verificatore JWT
Decodifica JSON Web Tokens e verifica le loro firme (HS256, RS256, ES256, EdDSA) interamente nel tuo browser tramite la Web Crypto API.
Header
Incolla un token sopra per decodificarlo.
Payload
Incolla un token sopra per decodificarlo.
Riepilogo dei claim
Incolla un token sopra per decodificarlo.
Verifica della firma
Incolla un segreto o una chiave pubblica per verificare.
Come funziona
Il decodificatore JWT (JSON Web Token) decodifica e mostra l’intestazione, il payload e la firma di un token JWT senza verificare la firma lato server.
Come usarlo:
- Incolla il tuo token JWT (formato xxxxx.yyyyy.zzzzz) nel campo di input.
- Lo strumento mostra l’intestazione e il payload decodificati in JSON leggibile.
- La firma viene mostrata ma non verificata (richiede la chiave segreta).
Esempio: Un token JWT di sessione → mostra l’ID utente, il ruolo, la data di scadenza.
Limitazioni: La verifica della firma non viene effettuata — non fidarti del contenuto di un JWT senza verifica lato server. Non decodificare token con dati sensibili su dispositivi non sicuri.
Privacy: La decodifica è completamente locale.
Casi d'uso
- Debug di bug di autenticazione in un'app web o mobile ispezionando esattamente quali claim contiene un token
- Verificare che un token scaduto o manomesso venga correttamente rifiutato dalla tua logica di autorizzazione
- Controllare che il tuo identity provider firmi i token con la chiave e l'algoritmo giusti
- Insegnare la struttura JWT, i claim e gli errori comuni (alg none, key confusion, exp mancante) con un esempio reale
- Triage rapido di un incidente di produzione in cui un token viene rifiutato da un servizio downstream
Domande frequenti
- Il decodificatore verifica la firma?
- No, mostra solo i dati decodificati. La verifica richiede la chiave segreta lato server.
- È pericoloso decodificare un JWT?
- No, i dati sono solo codificati in Base64, non cifrati. Chiunque può leggerli.
- Cosa contiene il payload?
- Di solito l'ID utente, i ruoli, la data di scadenza e altre claim.
- Cos'è exp nel payload?
- È la data di scadenza del token come timestamp Unix.
- Il mio token viene inviato a un server?
- No, la decodifica è completamente locale.