Decodificatore di JWT (JSON Web Token)
Incolla un JWT e guarda header e contenuto in JSON leggibile, con le date di emissione e scadenza spiegate e lo stato del token (valido, scaduto o non ancora valido). Per i token HMAC puoi verificare la firma con il tuo segreto. Tutto avviene nel tuo browser: token e segreto non vengono inviati da nessuna parte.
Elaborato al 100% nel tuo browser
Decodificare non è verificare: chiunque può leggere un JWT. Tutto avviene nel tuo browser e il token non viene inviato da nessuna parte.
Incolla un token per decodificarlo.
Ctrl + Enter eseguiCtrl + C copia risultato
Come si usa
- 1Copia il token (va bene anche con il prefisso «Bearer ») e incollalo nel riquadro.
- 2Leggi header, payload e le date exp, iat e nbf con il loro stato.
- 3Per verificare la firma di un token HS256, HS384 o HS512, scrivi il segreto.
- 4Copia il JSON di header o payload con i pulsanti.
Casi d’uso
- Fare debug del perché un’API rifiuta un token: scaduto, audience errata o permessi mancanti.
- Controllare quali claim contiene un token prima di usarlo in un’integrazione.
- Verificare la scadenza di un token di accesso o di refresh.
- Verificare in locale che un token firmato HMAC non sia stato alterato.
Domande frequenti
Decodificare un JWT è come verificarlo?
No. Chiunque può leggere il contenuto di un JWT perché è solo codificato in Base64URL. La verifica controlla la firma e richiede la chiave; senza non puoi sapere se il token è autentico.
È sicuro incollare qui il mio token?
Il token viene decodificato nel tuo browser e non viene inviato a un server né salvato. Evita comunque di incollare token di produzione con permessi sensibili in siti che non controlli.
Quali algoritmi posso verificare?
HS256, HS384 e HS512, che usano un segreto condiviso. I token RS256, ES256 e simili sono firmati con una chiave privata e verificati con la pubblica, che questo strumento non richiede.
Cosa significano exp, iat e nbf?
exp è l’istante di scadenza, iat quando è stato emesso e nbf da quando è valido. Sono secondi dal 1970 (tempo Unix) e qui li vedi anche come data leggibile.
Cos’è alg: none?
Un token senza firma. È un rischio per la sicurezza se un server lo accetta, perciò lo strumento ti avvisa quando ne vede uno.