Decodificatore JWT: decodifica un token Web JSON online

Incolla il JWT codificato (la lunga stringa eyJ…) nella casella di input. Lo strumento lo divide in corrispondenza dei due punti, decodifica in Base64URL l'header e il payload e ne mostra il JSON insieme al segmento grezzo della firma — il tutto senza effettuare alcuna richiesta di rete.

No. Il decoder si limita ad analizzare il token: non verifica la firma rispetto a una chiave segreta o pubblica, perché la verifica richiede il materiale chiave dell'emittente. Per la verifica in produzione usa una libreria JWT lato server; questo strumento serve per l'ispezione e il debug.

Ottieni l'header (algoritmo e id della chiave), i claim del payload (sub, iss, aud, iat, exp ed eventuali claim personalizzati) e la firma grezza. I claim timestamp standard vengono formattati come date leggibili dall'utente così puoi individuare a colpo d'occhio i token scaduti.

Se il payload contiene il claim standard "exp", lo strumento lo confronta con l'ora attuale e mostra "Valido fino al" oppure "Token scaduto il" con il timestamp esatto. I token senza claim exp vengono segnalati come privi di scadenza.

Chiunque legga il payload di un JWT può usarlo finché non scade, quindi i token di produzione vanno gestiti in strumenti privati. Questo decoder funziona interamente nel tuo browser e non trasmette mai il token, ma la regola più sicura è decodificare token di sviluppo a breve durata ogni volta che è possibile.

Un JWT ha tre segmenti codificati in Base64URL separati da punti: header (algoritmo di firma), payload (i claim che l'emittente vuole far considerare attendibili al verificatore) e signature (un MAC o una firma digitale su header.payload). La decodifica non richiede mai una chiave — la richiede solo la verifica.

Un token compatto e sicuro per gli URL composto da tre segmenti Base64URL — header, payload e firma — che trasporta dati firmati come un ID utente e una scadenza. È ampiamente usato per sessioni di login stateless e per proteggere le richieste API. Incollane uno qui sopra per ispezionarne header e payload.

Sotto l'header e il payload decodificati, incolla il segreto di firma (per HS256) o la chiave pubblica dell'emittente in formato PEM o JWK (per RS256, ES256 e simili) nella casella Verifica firma, poi clicca Verifica. Il badge che compare indica se la firma è valida, non valida o usa un algoritmo che il verificatore lato browser non supporta — tutto calcolato localmente, senza inviare il token o la chiave da nessuna parte.

Per gli algoritmi HMAC come HS256 incolli la stringa grezza del segreto condiviso. Per gli algoritmi asimmetrici come RS256, RS384 o ES256 ti serve la chiave pubblica dell'emittente — mai la chiave privata — fornita come blocco PEM o come JWK; incollare la metà sbagliata di una coppia di chiavi asimmetriche farà fallire la verifica anche se il token è valido.

Il pannello Verifica firma supporta ogni algoritmo JOSE diffuso: HS256/384/512 (HMAC con un segreto condiviso), RS256/384/512 (RSASSA-PKCS1-v1_5 con una chiave pubblica RSA), PS256/384/512 (RSA-PSS con una chiave pubblica RSA) ed ES256/384/512 (ECDSA sulla curva P-256/P-384/P-521 corrispondente). I token firmati con "none" o qualsiasi algoritmo al di fuori di questo elenco vengono sempre segnalati come non supportati anziché contrassegnati come validi, cosa che ti protegge anche dal classico trucco di falsificazione alg=none.

La causa più comune è incollare spazi bianchi in più o un a capo finale nella casella del segreto: il verificatore genera l'hash dei byte esatti che inserisci, quindi un artefatto di copia-incolla rompe la corrispondenza. Verifica inoltre di controllare il token corrente: se il JWT è stato riemesso dopo averlo copiato, o se il segreto del provider è codificato in base64 anziché essere una stringa grezza, decodificalo prima di incollarlo.

Clicca Try sample JWT per caricare un token dimostrativo HS256 con i claim sub, name, iat ed exp, così puoi vedere come funzionano la decodifica e il controllo di scadenza prima di incollare il tuo token. Una volta inserito un token nella casella, accanto compare un pulsante Clear che svuota l'input con un solo clic.

Ciascuno dei pannelli Header, Payload e Signature ha il proprio pulsante Copia nell'angolo in alto a destra che copia negli appunti solo il JSON di quella sezione (o la stringa grezza della firma). C'è anche un pulsante principale Copia Payload sotto i pannelli per il caso più comune di prendere solo i claim da incollare in un debugger o in una segnalazione di bug.

Copia il valore dopo 'Bearer ' nell'header Authorization — la parte eyJ… è il JWT stesso — e incollalo nel decoder per vedere subito header, claim del payload e stato di scadenza. Se copi l'intera stringa 'Bearer eyJ…', rimuovi prima il prefisso 'Bearer ' in modo che il token abbia esattamente tre parti separate da un punto.

No: questo è un decoder e visualizzatore, non un editor di JWT. Modificare il payload invaliderebbe la firma, quindi qualsiasi server che verifica il token rifiuterebbe la versione alterata. Per cambiare i claim devi generare un nuovo token firmato con il secret o la chiave privata corretti. Usa il decoder per leggere ed esaminare i token, non per modificarli.

No: JWT Decoder funziona interamente nel tuo browser, quindi ciò che incolli non lascia mai la macchina su cui ti trovi. Ciò è importante se stai controllando qualcosa che contiene un token, una chiave o i dati del cliente. È sufficiente chiudere la scheda per cancellarla.

L'errore punta alla prima posizione che non è stato possibile analizzare, che di solito è subito dopo l'errore reale anziché su di esso: una virgola mancante, una virgoletta o una parentesi non chiusa o una citazione intelligente incollata da un documento anziché da una semplice. Controlla prima la linea sopra la posizione segnalata.

JWT Decoder shows its result on the page. Standard use does not require signup; this workflow does not offer a file download. Published processing allowances and file limits still apply.

No: Decodificatore JWT funziona nel browser su computer e telefono. Non devi installare nulla, avviare una prova o acquistare una licenza prima di verificare se fa ciò che ti serve. Provalo sul file con cui sei davvero bloccato, invece che su un esempio.