Decodificatore JWT

Decodifica e ispeziona istantaneamente i token web JSON

Il Decodificatore JWT è uno strumento online gratuito per decodificare, analizzare e ispezionare i token web JSON (JWT). Visualizza istantaneamente intestazione, payload, firma e rivendicazioni del token. Debugga i token di autenticazione e autorizzazione utilizzati in OAuth 2.0, OpenID Connect e applicazioni web moderne. Funziona interamente nel tuo browser con completa privacy - nessun token viene mai inviato ai nostri server.

Come utilizzare il decodificatore JWT

Decodificare i token JWT è semplice e istantaneo:

Passaggio 1: incolla il tuo token JWT
Incolla il tuo token JWT completo nel campo di input. I token JWT iniziano tipicamente con 'eyJ' e contengono tre parti separate da punti (intestazione.payload.firma).
Passaggio 2: decodifica automatica
Il token viene decodificato e analizzato automaticamente in tempo reale. Non è necessario fare clic su alcun pulsante: i risultati appaiono istantaneamente durante l'incollaggio.
Passaggio 3: ispeziona le parti del token
Visualizza l'intestazione decodificata (algoritmo, tipo), il payload (rivendicazioni, scadenza, emissione) e la firma. Ogni parte viene visualizzata in JSON formattato per una facile lettura e debug.

Tutta la decodifica e l'analisi JWT avviene localmente nel tuo browser utilizzando JavaScript. I tuoi token non lasciano mai il tuo dispositivo e non vengono mai inviati ai nostri server, garantendo completa privacy e sicurezza.

form.title

Input token JWT

Casi d'Uso

usecases.intro

Debug dell'Autenticazione API

Quando le richieste API falliscono a causa di errori di autenticazione, decodifica il JWT per verificare il tempo di scadenza, l'emittente e i claim dell'audience per identificare la causa principale.

Audit di Sicurezza

Ispeziona i JWT utilizzati nella tua applicazione per verificare che i dati sensibili non siano esposti nel payload e che vengano utilizzati algoritmi appropriati.

Sviluppo e Test

Durante lo sviluppo, verifica rapidamente che i token generati contengano i claim, i ruoli e i permessi corretti prima dei test di integrazione.

Analisi della Scadenza del Token

Verifica i claim 'exp' e 'iat' per comprendere i periodi di validità del token e risolvere i problemi di timeout della sessione nella tua applicazione.

Apprendimento della Struttura JWT

Gli studenti e gli sviluppatori nuovi a JWT possono visualizzare la struttura a tre parti (header, payload, firma) per comprendere meglio come funziona l'autenticazione basata su token.

Cos'è JWT (JSON Web Token)?

JWT (JSON Web Token) è uno standard aperto (RFC 7519) per trasmettere in modo sicuro informazioni tra parti come oggetto JSON. È compatto, sicuro per gli URL e ampiamente utilizzato per l'autenticazione e lo scambio di informazioni nelle applicazioni web moderne.

Struttura a Tre Parti

Un JWT è composto da tre parti separate da punti: Header (algoritmo e tipo di token), Payload (claim e dati) e Firma (hash di verifica). Ogni parte è codificata in Base64URL per una trasmissione sicura.

Casi d'Uso Comuni

I JWT sono utilizzati principalmente per l'autenticazione (sessioni di login), l'autorizzazione (controllo degli accessi) e lo scambio sicuro di informazioni tra servizi. Sono stateless, eliminando la necessità di archiviazione delle sessioni lato server.

Considerazioni sulla Sicurezza

Sebbene i JWT siano firmati per prevenire manomissioni, il payload è solo codificato, non crittografato. Non memorizzare mai dati sensibili come password nei JWT. Verifica sempre le firme lato server e usa HTTPS per la trasmissione.

Domande frequenti (FAQ)

Qual è la differenza tra decodificare e verificare un JWT?

Decodificare significa estrarre e leggere intestazione e payload dal token utilizzando la decodifica Base64Url - chiunque può farlo. Verificare significa controllare la firma per assicurarsi che il token non sia stato manomesso - questo richiede la chiave segreta o chiave pubblica. Il nostro strumento decodifica solo i token; la verifica della firma deve essere eseguita sul tuo server sicuro.

È sicuro incollare il mio token JWT qui?

Il nostro strumento elabora i token interamente nel tuo browser - nulla viene inviato ai server. Tuttavia, dovresti comunque essere cauto con i token di produzione. Per la massima sicurezza, usa solo token di test/sviluppo o usa questo strumento offline salvando la pagina web localmente.

Perché il mio JWT inizia con 'eyJ'?

Tutti i JWT iniziano con 'eyJ' perché l'intestazione JSON (tipicamente {"alg":"HS256","typ":"JWT"}) inizia con '{"' che codificato in Base64Url diventa 'eyJ'. Questo è un indicatore affidabile che una stringa è un token JWT.

Questo strumento può verificare le firme JWT?

No, la verifica della firma richiede la chiave segreta (algoritmi HMAC) o chiave pubblica (algoritmi RSA/ECDSA). Inserire queste chiavi in uno strumento online sarebbe un grave rischio per la sicurezza. Verifica sempre le firme sui tuoi server sicuri utilizzando librerie affidabili.

Cosa significa 'exp' nel payload?

La rivendicazione 'exp' (scadenza) è un timestamp Unix che indica quando il token scade. I token dovrebbero essere rifiutati dopo questo momento. Ad esempio, 'exp': 1735689600 significa che il token scade il 1° gennaio 2025 alle 00:00:00 UTC.

Il mio token ha tre punti invece di due. È valido?

I JWT standard hanno esattamente due punti che separano tre parti (intestazione.payload.firma). Punti extra indicano che il token potrebbe essere malformato, codificato due volte o non essere un JWT standard. Controlla il tuo codice di generazione del token.

Posso usare questo strumento per i token OAuth 2.0?

Sì! I token di accesso OAuth 2.0 e i token ID (da OpenID Connect) sono spesso JWT. Puoi decodificarli per visualizzare le informazioni utente, gli ambiti, i tempi di scadenza e altre rivendicazioni. Tuttavia, alcuni provider OAuth utilizzano token opachi (stringhe casuali) che non possono essere decodificati.

Cos'è l'algoritmo 'none' e perché è pericoloso?

L'algoritmo 'none' significa che il token non ha firma. Se un server accetta token con 'alg': 'none', gli aggressori possono falsificare token creando intestazione/payload con qualsiasi rivendicazione e senza firma. I sistemi sicuri dovrebbero sempre rifiutare i token con l'algoritmo 'none'.