Decoder JWT

Cosa fa davvero un decodificatore JWT

Un JSON Web Token (JWT) sembra una lunga stringa opaca di caratteri casuali, ma non è cifrato e non è un codice segreto. È un contenitore compatto e sicuro per URL che trasporta dati strutturati tra due parti. Incolla un token nel decodificatore qui sopra e lo divide separando quella stringa per mostrarti il vero JSON all'interno — i metadati, i claim, a chi è destinato il token e quando scade. Tutto avviene direttamente nel tuo browser. Il token non viene mai caricato, registrato o inviato da nessuna parte, il che conta moltissimo quando l'oggetto che stai ispezionando è una credenziale di sessione attiva.

Tre parti, due punti

Ogni JWT ben formato è composto da tre stringhe codificate in Base64url unite da punti: header.payload.firma. Quel singolo carattere punto è il modo in cui i parser sanno dove finisce una sezione e dove inizia la successiva, ed è per questo che un token con il numero sbagliato di punti viene rifiutato prima che qualsiasi altra cosa venga letta.

L'header è un piccolo oggetto JSON che descrive il token stesso. Contiene quasi sempre typ (il tipo, di solito JWT) e alg — l'algoritmo di firma, come HS256 (HMAC con SHA-256) o RS256 (RSA con SHA-256). L'header indica a un verificatore esattamente come è stata prodotta la firma.

Il payload è la parte che interessa alla maggior parte delle persone. È un altro oggetto JSON che contiene i claim — affermazioni sull'utente e sul token. La specifica suddivide i claim in registrati (nomi standard e riservati), pubblici e privati (nomi personalizzati che inventi per la tua app). Decodificare il payload rivela chi è connesso, quale ruolo ha e quando scade la sua sessione.

La firma è il sigillo crittografico. Viene calcolata sull'header e sul payload codificati usando l'algoritmo dell'header più una chiave segreta o privata. Poiché copre entrambe le altre sezioni, qualsiasi modifica all'header o al payload — anche un singolo carattere — la invalida.

I claim che vedrai più spesso

I claim registrati sono nomi brevi di tre lettere definiti dall'RFC 7519 in modo che sistemi diversi possano interoperare. Un gruppetto appare quasi ovunque:

• iss — issuer: chi ha emesso il token (il tuo auth server o identity provider).
• sub — subject: il principale a cui si riferisce il token, tipicamente un ID utente stabile.
• aud — audience: il destinatario per cui è pensato il token. Un'API dovrebbe rifiutare i token il cui audience non è essa stessa.
• exp — expiration time: un timestamp Unix dopo il quale il token non deve essere accettato.
• iat — issued at: il timestamp Unix di quando è stato creato il token.

Potresti anche incontrare nbf (not before) e jti (un ID univoco del token). I timestamp sono secondi dall'epoca del 1970 in UTC, ed è per questo che un decodificatore che li mostra come date leggibili ti risparmia il calcolo mentale di verificare se un token è già scaduto.

Decodificare non significa verificare — è qui che le persone si bruciano

Questa distinzione è la cosa più importante da capire sui JWT. Decodificare significa leggere il contenuto: non richiede alcuna chiave e chiunque abbia il token può farlo, perché Base64url è una codifica, non crittografia. Verificare significa dimostrare che il token è autentico e integro — ricalcolare la firma con la chiave segreta o pubblica corretta e confermare che corrisponde.

Questo strumento decodifica. Ti mostra cosa dice il token, non se il token è affidabile. Un token potrebbe essere contraffatto, scaduto o riprodotto e decodificarsi comunque in JSON dall'aspetto perfettamente pulito. Non prendere mai una decisione di autorizzazione basandosi solo sui claim decodificati. In produzione verifichi la firma lato server, controlli exp e confermi che iss e aud corrispondano a ciò che ti aspetti — usando una libreria consolidata, mai un confronto di stringhe scritto a mano.

Il payload non è un vault

Poiché il payload è solo codificato in Base64url, è leggibile da chiunque intercepti il token. Tratta tutto ciò che contiene come pubblico. Non inserire password, numeri completi di carte di credito, chiavi segrete o dati personali sensibili nei claim JWT — se riesci a decodificarlo qui con un clic, altrettanto può fare chiunque altro ottenga una copia. La firma protegge dalla modifica, mai dalla lettura. Se hai davvero bisogno di nascondere il contenuto del payload, quello è un compito per JWE (token cifrati), una specifica completamente diversa.

Privacy e strumenti correlati

Ispezionare un token è un'operazione delicata, quindi questo decodificatore funziona interamente lato client — il parsing è JavaScript puro nella tua scheda e niente lascia il tuo dispositivo. Incollare un token di sessione in uno strumento basato su server significa consegnare una credenziale attiva a una terza parte, il che è esattamente ciò che dovresti evitare. Per la codifica sottostante, consulta il nostro strumento Base64, ed esplora il resto dei nostri strumenti per sviluppatori per altre utilità on-device.

Domande frequenti