Come usare Decodificatore JWT
- 1
Incolla il token
Incolla il JWT da un header Authorization, da un cookie o dallo storage della tua app; un «Bearer » iniziale viene ignorato.
- 2
Leggi i claim
Controlla le tabelle di header e payload, gli orari leggibili di exp, iat e nbf e il banner della scadenza.
- 3
Aggiungi la chiave
Inserisci il segreto HMAC, oppure incolla la chiave pubblica come PEM, certificato, JWK o JWKS.
- 4
Verifica la firma
Premi Verifica la firma per confermare che il token è stato firmato con quella chiave e non è stato modificato.
Limiti e Pro
Gratis, senza registrazione e senza limiti sul numero di token; la verifica supporta 13 algoritmi (HS, RS, PS ed ES a 256, 384 e 512 bit, più EdDSA).
Pro rimuove la pubblicità; decodifica e verifica sono identiche in tutti i piani. Scopri Pro
Informazioni su Decodificatore JWT
Un JSON Web Token è formato da tre stringhe Base64URL unite da punti: un header che indica l'algoritmo di firma, un payload con i claim e una firma. Incolla un token, con o senza il prefisso «Bearer », e il decodificatore mostra header e payload come tabella leggibile o come JSON formattato, colora le tre parti del token e spiega i campi standard come iss, sub, aud, kid e scope.
I claim temporali vengono convertiti per te: exp, iat, nbf e auth_time compaiono come data nel tuo fuso orario, in UTC e come tempo relativo («scade tra 2 ore», «scaduto 3 giorni fa»). Un banner ti dice subito se il token è scaduto, non ancora valido o senza scadenza, e ti avvisa quando exp sembra espresso in millisecondi invece che in secondi.
Decodificare non dimostra nulla su chi abbia emesso un token, quindi il verificatore controlla la firma con WebCrypto, già integrato nel tuo browser. HS256, HS384 e HS512 richiedono il segreto condiviso (testo semplice o Base64). Gli algoritmi RS, PS ed ES a 256, 384 e 512 bit, più EdDSA con Ed25519, richiedono la chiave pubblica, che puoi incollare come chiave pubblica PEM, blocco RSA PUBLIC KEY, certificato X.509, singola JWK o intero JWKS, dove la chiave viene scelta in base al kid del token.
Lo strumento non può decifrare i token JWE (quelli a cinque parti) e non scarica gli URL dei JWKS: apri tu il jwks_uri dell'emittente e incolla il relativo JSON.
Privacy
I token sono credenziali al portatore, e questa pagina li tratta come tali: la decodifica e il controllo della firma avvengono nel tuo browser con WebCrypto, e il token, il segreto e le chiavi non vengono mai inviati a un server, registrati o salvati. Chiudendo o ricaricando la scheda si cancella tutto.
Funzionalità
Orari leggibili
exp, iat e nbf nel tuo fuso orario, in UTC e come «tra 2 ore» o «3 giorni fa».
Vere verifiche della firma
HMAC, RSA, RSA-PSS, ECDSA ed Ed25519 verificati con WebCrypto rispetto alla tua chiave o al tuo JWKS.
Il token resta in locale
Non viene caricato nulla, quindi puoi esaminare in sicurezza i token di produzione.