IT

Decodifica JWT: leggi e verifica un JSON Web Token

Per decodificare un JWT incolla il token: lo strumento mostra che cosa contiene un JSON Web Token – intestazione, payload e firma, con emittente, scadenza e validità in chiaro. Se inserisci il segreto o la chiave pubblica, verifica anche la firma. Il token non lascia il tuo browser.

Fonte: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Aggiornato al: .

Incolla il token; «Bearer » davanti va bene. Ha tre parti separate da punti.

Il tuo testo resta nel browser: non viene inviato, non viene salvato e non compare nell’indirizzo della pagina.

HS256/384/512: il segreto come testo. RS/PS/ES: chiave pubblica in PEM («BEGIN PUBLIC KEY») o JWK. La chiave resta nel tuo browser.
Solo per HS256/384/512: il segreto viene decodificato prima della verifica (comune con chiavi generate). Altrimenti vale il testo così com’è.
I miei strumentiI dati inseriti vengono salvati solo in questo browser.

Risultato

Stato
Formato JWT valido – algoritmo HS256
Firma
Valida ✓ – la firma corrisponde alla chiave inserita.
Intestazione
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Giulia Rossi", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Date (UTC)
Emesso (iat): 2018-01-18T01:30:22Z Scade (exp): 2100-01-01T00:00:00Z – tra 73 anni
Claim noti
Emittente (iss): https://beispiel.example Soggetto (sub): 1234567890

Come si calcola

Un JSON Web Token (JWT) trasporta dichiarazioni (claim) tra due parti – tipicamente dopo il login, come prova che «questo utente è connesso». Ha tre parti separate da punti: intestazione.payload.firma (RFC 7519, RFC 7515).

Come decodificare un JWT

  1. Incolla il token nel campo in alto (con o senza «Bearer»).
  2. Intestazione e payload compaiono subito come JSON leggibile, con scadenza ed emittente sotto.
  3. Facoltativo: inserisci la chiave in «Segreto o chiave pubblica» e lo strumento verifica la firma.

Che cosa contiene un token

Importante: leggere non è verificare

Intestazione e payload sono solo codificati in base64url, non cifrati. Chiunque veda un token può leggerlo: password e altri segreti non ci devono stare. Senza verifica della firma il contenuto non dimostra nulla, perché chiunque può modificarlo. La verifica qui funziona con un segreto HMAC (HS256/384/512) e con una chiave pubblica (RS, PS, ES); un token con alg: none non è firmato.

Protezione dall’algorithm confusion

Un attacco noto consegna al server un token con alg: HS256 firmato usando la chiave pubblica come segreto. Lo strumento quindi rifiuta la verifica se come segreto HS viene inserita una chiave pubblica o privata (la RFC 8725 consiglia di non ricavare mai l’algoritmo dal solo token).

Limiti

Domande frequenti

Che cos’è un JWT?

Un JSON Web Token è una stringa compatta e sicura per gli URL, in tre parti (intestazione, payload, firma). Trasporta claim come l’ID utente o la scadenza ed è spesso usato come prova di accesso dopo il login.

Chiunque può leggere il contenuto di un JWT?

Sì. Intestazione e payload sono solo codificati in base64url, non cifrati. Solo la firma protegge dalle modifiche, non dalla lettura. Non mettere quindi segreti in un JWT.

Come verifico la firma di un JWT?

In «Segreto o chiave pubblica» inserisci il segreto per HS256/384/512, oppure la chiave pubblica in PEM o JWK per RS256, PS256 o ES256. Il risultato compare in «Firma».

È sicuro incollare il mio token in un decoder online?

Questo decoder lavora interamente nel tuo browser e non invia nulla. Tuttavia un token valido è una prova di accesso. Usa, se puoi, token di prova o già scaduti.

Che cosa significano exp, iat e nbf?

exp è l’istante in cui il token scade, iat quello di emissione e nbf l’istante da cui è valido. Tutti e tre sono secondi dal 1° gennaio 1970 UTC.

Perché lo strumento dice «non verificata»?

Senza chiave non c’è nulla con cui controllare la firma, quindi il contenuto è solo letto. Anche algoritmi non supportati o formati di chiave non adatti saltano la verifica.

Fonti e riferimenti normativi

Aggiornato al: · Principi editoriali

Strumenti correlati