Decodificatore JWT — payload, scadenza e verifica firma

Cosa fa il Decodificatore JWT

Il Decodificatore JWT divide un JSON Web Token nei suoi tre segmenti separati da punti, decodifica in base64url header e payload e ne formatta gli oggetti JSON. È utile per il debug di flussi di login, header di autorizzazione delle API, callback OAuth, comportamento del refresh e test che dipendono da claim come subject, issuer, audience, data di emissione e data di scadenza. Ogni claim è elencato in una tabella con il suo significato standard e i claim temporali vengono convertiti per te.

Lo strumento può anche verificare la firma. I token HMAC (HS256, HS384, HS512) richiedono il segreto condiviso, che puoi incollare come testo semplice o Base64. I token asimmetrici (RS256, PS256, ES256, le relative varianti 384/512 ed EdDSA) richiedono la chiave pubblica dell'emittente come blocco PEM PUBLIC KEY o come singola JWK dall'endpoint JWKS del provider. Un risultato verde significa che il token è stato firmato con quella chiave e non è stato modificato; un risultato rosso significa che la chiave è sbagliata o che il token è stato manomesso. I token che usano alg: none vengono segnalati come non firmati.

Flusso di lavoro privato nel browser

Tutta l'elaborazione avviene con JavaScript nel browser e con la Web Crypto API. Lo strumento non carica su alcun server i tuoi token, segreti, chiavi, URL o valori generati e non richiede un account. Questo modello di privacy è importante perché le piccole utility ricevono spesso vere risposte API, esempi di configurazione, log, dati di autenticazione o esempi simili ai dati dei clienti durante la risoluzione dei problemi. Lavorare in locale riduce i rischi e rende lo strumento istantaneo, perché non c'è alcun passaggio di rete.

Come leggere l'output decodificato

I claim standard che vedrai più spesso sono iss (issuer), sub (subject), aud (audience), exp (scadenza), nbf (non valido prima di) e iat (data di emissione). I claim temporali sono timestamp Unix in secondi; la tabella dei claim mostra ciascuno come data UTC ISO 8601 più un tempo relativo come "tra 2 ore" o "3 giorni fa", e la riga di stato ti dice a colpo d'occhio se il token è valido, scaduto o non ancora valido.

Il decodificatore si aspetta esattamente tre segmenti separati da punti; qualsiasi altra struttura produce un errore di decodifica. I token cifrati (JWE) hanno cinque segmenti e non possono essere letti senza la chiave, e anche un segmento che non è JSON base64url valido darà errore. Una firma valida dimostra chi ha emesso il token, ma la tua applicazione deve comunque controllare issuer, audience e scadenza. Tratta i token attivi come password: anche se qui nulla lascia il tuo browser, evita di incollare token di produzione in strumenti di cui non ti fidi o di condividere pubblicamente l'output decodificato.