Guarda dentro qualsiasi JWT — header, payload e scadenza

Incolla il JWT codificato (la lunga stringa eyJ…) nella casella di input. Lo strumento lo divide in corrispondenza dei due punti, decodifica in Base64URL l'header e il payload e ne mostra il JSON insieme al segmento grezzo della firma — il tutto senza effettuare alcuna richiesta di rete.

No. Il decoder si limita ad analizzare il token: non verifica la firma rispetto a una chiave segreta o pubblica, perché la verifica richiede il materiale chiave dell'emittente. Per la verifica in produzione usa una libreria JWT lato server; questo strumento serve per l'ispezione e il debug.

Ottieni l'header (algoritmo e id della chiave), i claim del payload (sub, iss, aud, iat, exp ed eventuali claim personalizzati) e la firma grezza. I claim timestamp standard vengono formattati come date leggibili dall'utente così puoi individuare a colpo d'occhio i token scaduti.

Se il payload contiene il claim standard "exp", lo strumento lo confronta con l'ora attuale e mostra "Valido fino al" oppure "Token scaduto il" con il timestamp esatto. I token senza claim exp vengono segnalati come privi di scadenza.

Chiunque legga il payload di un JWT può usarlo finché non scade, quindi i token di produzione vanno gestiti in strumenti privati. Questo decoder funziona interamente nel tuo browser e non trasmette mai il token, ma la regola più sicura è decodificare token di sviluppo a breve durata ogni volta che è possibile.

Un JWT ha tre segmenti codificati in Base64URL separati da punti: header (algoritmo di firma), payload (i claim che l'emittente vuole far considerare attendibili al verificatore) e signature (un MAC o una firma digitale su header.payload). La decodifica non richiede mai una chiave — la richiede solo la verifica.

Un token compatto e sicuro per gli URL composto da tre segmenti Base64URL — header, payload e firma — che trasporta dati firmati come un ID utente e una scadenza. È ampiamente usato per sessioni di login stateless e per proteggere le richieste API. Incollane uno qui sopra per ispezionarne header e payload.

Sotto l'header e il payload decodificati, incolla il segreto di firma (per HS256) o la chiave pubblica dell'emittente in formato PEM o JWK (per RS256, ES256 e simili) nella casella Verifica firma, poi clicca Verifica. Il badge che compare indica se la firma è valida, non valida o usa un algoritmo che il verificatore lato browser non supporta — tutto calcolato localmente, senza inviare il token o la chiave da nessuna parte.

Per gli algoritmi HMAC come HS256 incolli la stringa grezza del segreto condiviso. Per gli algoritmi asimmetrici come RS256, RS384 o ES256 ti serve la chiave pubblica dell'emittente — mai la chiave privata — fornita come blocco PEM o come JWK; incollare la metà sbagliata di una coppia di chiavi asimmetriche farà fallire la verifica anche se il token è valido.

Il pannello Verifica firma supporta ogni algoritmo JOSE diffuso: HS256/384/512 (HMAC con un segreto condiviso), RS256/384/512 (RSASSA-PKCS1-v1_5 con una chiave pubblica RSA), PS256/384/512 (RSA-PSS con una chiave pubblica RSA) ed ES256/384/512 (ECDSA sulla curva P-256/P-384/P-521 corrispondente). I token firmati con "none" o qualsiasi algoritmo al di fuori di questo elenco vengono sempre segnalati come non supportati anziché contrassegnati come validi, cosa che ti protegge anche dal classico trucco di falsificazione alg=none.

La causa più comune è incollare spazi bianchi in più o un a capo finale nella casella del segreto: il verificatore genera l'hash dei byte esatti che inserisci, quindi un artefatto di copia-incolla rompe la corrispondenza. Verifica inoltre di controllare il token corrente: se il JWT è stato riemesso dopo averlo copiato, o se il segreto del provider è codificato in base64 anziché essere una stringa grezza, decodificalo prima di incollarlo.

Clicca Try sample JWT per caricare un token dimostrativo HS256 con i claim sub, name, iat ed exp, così puoi vedere come funzionano la decodifica e il controllo di scadenza prima di incollare il tuo token. Una volta inserito un token nella casella, accanto compare un pulsante Clear che svuota l'input con un solo clic.

Ciascuno dei pannelli Header, Payload e Signature ha il proprio pulsante Copia nell'angolo in alto a destra che copia negli appunti solo il JSON di quella sezione (o la stringa grezza della firma). C'è anche un pulsante principale Copia Payload sotto i pannelli per il caso più comune di prendere solo i claim da incollare in un debugger o in una segnalazione di bug.

Copia il valore dopo 'Bearer ' nell'header Authorization — la parte eyJ… è il JWT stesso — e incollalo nel decoder per vedere subito header, claim del payload e stato di scadenza. Se copi l'intera stringa 'Bearer eyJ…', rimuovi prima il prefisso 'Bearer ' in modo che il token abbia esattamente tre parti separate da un punto.

No: questo è un decoder e visualizzatore, non un editor di JWT. Modificare il payload invaliderebbe la firma, quindi qualsiasi server che verifica il token rifiuterebbe la versione alterata. Per cambiare i claim devi generare un nuovo token firmato con il secret o la chiave privata corretti. Usa il decoder per leggere ed esaminare i token, non per modificarli.