Decodificatore JWT
Leggi header e payload di JWT in tre parti senza verificare firma, validità o autorizzazioni.
Guida passo passo
Guida passo passo
Comprendere le parti leggibili di un JWT.
- Considera l’intestazione fittizia {"typ":"JWT"} e il payload {"sub":"demo-user"}. Sono frammenti JSON esplicativi, non un token da incollare.
- Leggi la spiegazione prima di avviare lo strumento. Questa guida non carica esempi e non avvia ispezioni.
Esempio illustrativo
Un JWT in tre parti contiene intestazione, payload e firma. Il decodificatore mostra i primi due come JSON e segnala che la firma non è verificata.
Come leggere il risultato
Decodificare non verifica la firma e non autentica. Le dichiarazioni sono attendibili solo dopo una corretta verifica da parte del sistema destinatario. Lo strumento non decifra JWE in cinque parti; non condividere mai un token di accesso reale.
Questa guida didattica è statica. Non compila campi, non genera valori e non legge dati del browser o della memoria locale. Esercitati con dati fittizi e non segreti. Non condividere mai password, chiavi, token o valori dei cookie. Queste spiegazioni non costituiscono un controllo completo né una certificazione di sicurezza.
Condividi questo strumento
Viene condiviso solo il link pubblico dello strumento. I dati inseriti e i risultati rimangono qui.
Mostra il link da copiare manualmente
In breve
Decodifica header e payload Base64URL di un JWT firmato in tre parti per esaminarne il contenuto. I token JWE cifrati in cinque parti non sono supportati. Questo strumento non verifica firma o dichiarazioni del token.
Questi strumenti elaborano i dati nel browser dopo il caricamento della pagina. I calcoli non inviano le tue immissioni o i risultati a un servizio remoto. Il sito richiede comunque il codice e le risorse della pagina e, se acconsenti, usa Google Analytics per i dati di visita.
Domande frequenti
La decodifica di un JWT dimostra che è autentico?
No. La decodifica legge soltanto le parti codificate. L’applicazione destinataria deve convalidare firma e dichiarazioni pertinenti.
Perché i token in cinque parti non vengono decodificati?
Un token compatto in cinque parti è un JWE con payload cifrato. Questo strumento legge solo header e payload di JWT firmati in tre parti; per decifrare un JWE serve la chiave appropriata.
Il payload di un JWT è cifrato?
Non necessariamente. Il payload di un JWT firmato è generalmente leggibile da chiunque possieda il token; la cifratura usa una forma di token distinta.
Perché usare un token di prova o scaduto?
Se il JWT è un token di accesso bearer, chiunque lo possieda potrebbe accedere alle sue risorse. Questo decodificatore funziona localmente ma non verifica il token: conserva le credenziali attive solo in strumenti di cui ti fidi.
Fonti e riferimenti
- RFC 7519: JSON Web Token (in inglese)
- RFC 7516: JSON Web Encryption (in inglese)
- RFC 8725: JSON Web Token Best Current Practices (in inglese)
- RFC 6750: OAuth 2.0 Bearer Token Usage (in inglese)
Queste fonti documentano lo standard o l’API del browser citati; non convalidano il risultato dello strumento.