Decoder JWT e debugger: decodifica e verifica i token online

Sì. Il decoder JWT e debugger funziona direttamente su questa pagina nel tuo browser, senza account, registrazione o installazione.

No. Decodifica, firma e verifica della firma avvengono esclusivamente nel tuo browser, usando la Web Crypto API per la crittografia. Token, secret e chiave pubblica non vengono caricati. I JWT reali, però, contengono spesso credenziali di sessione o di accesso alle API: per le prove è meglio usare token di test.

Sì. Un JWT non è crittografato: header e payload sono solo codificati in Base64URL e chiunque può leggerli. Il secret o la chiave pubblica servono solo per verificare la firma e, nel caso di HS256, HS384 e HS512, per firmare di nuovo il token. Decodificare un token, quindi, non ne dimostra l'autenticità: serve verificare la firma.

Per HS256, HS384 e HS512 inserisci il secret. Se l'header indica RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 o ES512, appare invece un campo per la chiave pubblica in formato PEM «BEGIN PUBLIC KEY» (SPKI). Lo strumento non accetta RSA PUBLIC KEY (PKCS#1) né certificati. Il risultato viene mostrato in alto come «Valido» o «Non valido» oppure, senza secret o chiave, «Non verificato». Lo strumento non verifica altri algoritmi.

Se il payload contiene exp, iat o nbf come numeri, lo strumento mostra questi claim sopra il payload come date UTC. Per exp indica quanto manca alla scadenza del token o da quanto tempo è scaduto; un exp scaduto è evidenziato in rosso. Se nbf è nel futuro, vedi da quando il token sarà valido.

Sì. Modifica direttamente header o payload, ad esempio exp, ruoli o claim personalizzati, oppure scegli un altro algoritmo. Appena cambi qualcosa, nel campo «Encoded (JWT)» viene generato in tempo reale un nuovo token firmato con il tuo secret. Puoi firmare solo con HS256, HS384 e HS512: gli algoritmi RS, PS ed ES richiederebbero una chiave privata, che lo strumento non utilizza.

Copia solo la parte dopo «Bearer » e incollala. Il prefisso non viene rimosso automaticamente e un JWT deve essere composto esattamente da tre parti separate da punti (Header.Payload.Firma). Se includi il prefisso, l'header non può essere letto e lo strumento mostra un errore.

Un JWT è composto da tre parti codificate in Base64URL, separate da punti: header (ad es. alg e typ), payload con i claim e firma. L'esempio precompilato ne mostra la struttura: un token HS256 con sub, name e iat, verificato come «Valido» con il secret di esempio.