Cosa fa il decodificatore JWT?

Separa e decodifica le tre parti di un JSON Web Token — header, payload e firma — e mostra il contenuto di header e payload come JSON leggibile e colorato, oltre allo stato di scadenza e della firma.

Come funziona la decodifica?

L'header e il payload di un JWT sono solo Base64URL (non crittografia). Lo strumento decodifica queste parti in JSON e le mostra. La firma resta codificata perché è un hash crittografico usato per verificare l'integrità.

È sicuro incollare il mio token qui?

Sì. Tutta la decodifica avviene localmente nel tuo browser tramite JavaScript. Nessun token, segreto o dato viene inviato ai server di ToolboxHub. Evita comunque di condividere pubblicamente token di produzione validi.

Come verifico la firma?

Per i token firmati con HMAC (HS256, HS384 o HS512), inserisci il segreto nel campo corrispondente: lo strumento ricalcola la firma localmente e indica se corrisponde. Per gli algoritmi asimmetrici (RS256, ES256, ecc.), la verifica richiederebbe la chiave pubblica e non viene eseguita qui.

Come faccio a sapere se il token è scaduto?

Lo strumento legge i claim exp (scadenza) e nbf (not before) dal payload, li converte in data/ora nel tuo fuso orario e mostra un badge che indica se il token è valido, scaduto o non ancora valido.

Quali algoritmi sono supportati?

La decodifica funziona con qualsiasi JWT, indipendentemente dall'algoritmo. La verifica della firma integrata copre gli algoritmi HMAC: HS256, HS384 e HS512. Gli algoritmi asimmetrici vengono decodificati ma non verificati.

Perché il payload non è crittografato?

Un JWT standard è firmato, non crittografato: chiunque abbia il token può leggere il payload. La firma garantisce che il contenuto non sia stato alterato, ma non lo nasconde. Per questo non dovresti mai inserire dati sensibili (password, carte) nel payload di un JWT.

Decodificatore JWT Online Gratis: Header, Payload e Firma

Informazioni sul Decodificatore JWT

Incolla un JSON Web Token (JWT) e visualizza le sue tre parti decodificate in una vista strutturata e colorata: lHeader (algoritmo e tipo), il Payload (claim, scadenza e scope) e la firma. Tutta la decodifica avviene localmente nel tuo browser — il token non viene mai inviato a server. Per i token HMAC puoi inserire il segreto e verificare la firma. Per generare hash, usa il nostro <link>Generatore di Hash</link>.

Come decodificare in 3 passi

Incolla il token JWT nel campo di input.
Visualizza Header, Payload e firma decodificati automaticamente.
Controlla la scadenza e, se il token è HMAC, inserisci il segreto per validare la firma.

Struttura di un JWT

Un JWT ha tre parti codificate in Base64URL e separate da punti: header.payload.firma.

Parte	Colore	Significato
Header	Rosso	Metadati: algoritmo di firma (alg) e tipo (typ).
Payload	Blu	I claim: dati sull'utente, permessi, emissione e scadenza.
Firma	Verde acqua	Garantisce l'integrità del token; calcolata su header e payload con una chiave segreta.

Claim registrati del JWT

I claim seguenti sono standardizzati dalla RFC 7519. Altri claim (personalizzati) possono comparire nel payload.

Claim	Nome	Significato
`iss`	Emittente	Chi ha emesso il token (issuer).
`sub`	Soggetto	Soggetto del token, di solito l'ID utente (subject).
`aud`	Destinatario	Destinatario/i a cui è destinato il token (audience).
`exp`	Scade il	Data/ora di scadenza — dopo di essa il token non dovrebbe più essere accettato (expiration).
`nbf`	Valido dal	Data/ora prima della quale il token non è valido (not before).
`iat`	Emesso il	Data/ora di emissione del token (issued at).
`jti`	ID del token	Identificatore univoco del token (JWT ID).

Decodificatore JWT