Decoder JWT: a cosa serve
Un JSON Web Token è composto da tre segmenti Base64url separati da punti: un header che indica l'algoritmo, un payload di claim e una firma. Fare debug dei problemi di autenticazione significa quasi sempre leggere il payload, e questo strumento lo decodifica interamente nel tuo browser, mostrando exp e iat come date leggibili.
Decoder JWT: come si usa
- Incolla il JWT nel campo di input.
- Leggi header e payload decodificati, affiancati.
- Controlla i claim exp e iat, mostrati come date leggibili.
- Osserva l'algoritmo indicato nell'header: questo strumento non verifica le firme.
Domande frequenti
Questo strumento verifica la firma del token?
No. La verifica richiede il secret o la chiave pubblica usati per firmare, che non vanno mai incollati in una pagina web. La decodifica mostra solo cosa dichiara il token; solo il tuo backend deve decidere se fidarsene.
È sicuro incollare qui un token?
La decodifica avviene interamente nel browser, senza alcuna richiesta di rete. Detto questo, un access token ancora valido resta una credenziale: per abitudine, usa token scaduti o di test.
Cosa significano i claim standard?
iss è l'issuer, sub il subject o l'id utente, aud l'audience prevista, exp la scadenza, iat il momento di emissione e nbf l'istante prima del quale il token non è valido. Tutti i tempi sono in secondi Unix.
Cos'è la vulnerabilità "alg: none"?
Una falla storica in cui un server accettava un token che dichiarava di non usare alcun algoritmo, permettendo così di falsificarlo. Fissa sempre lato server l'algoritmo atteso, invece di fidarti dell'header.