Decodifica header e payload dei JWT, ispeziona claim e scadenza — senza che il token lasci il tuo browser.
Un JSON Web Token (JWT, RFC 7519) è composto da tre segmenti codificati in Base64URL separati da punti: un header che indica l'algoritmo di firma, un payload che trasporta i claim — chi ha emesso il token, per chi e fino a quando è valido — e una firma. I JWT sono la credenziale bearer standard di OAuth 2.0 e OpenID Connect, ed è per questo che il debug di un flusso di login o di un'integrazione API inizia così spesso con la domanda: cosa c'è davvero dentro questo token?
Questo decodificatore divide il token sui punti, ripristina il padding Base64URL, decodifica ogni segmento come UTF-8 e formatta il JSON. Evidenzia i claim registrati — iss (issuer), sub (subject), aud (audience), iat (issued at), nbf (not before) ed exp (expiration) — convertendo i timestamp numerici, che contano i secondi dall'epoch Unix, in date UTC leggibili. La scadenza viene inoltre confrontata con il tuo orologio, così lo stato ti dice a colpo d'occhio se il token è ancora valido e per quanto, o da quanto tempo è scaduto. Un input malformato produce un errore chiaro e comprensibile invece di un'eccezione criptica.
Una cosa va detta a voce altissima: decodificare un JWT non significa validarlo. Header e payload sono semplicemente codificati in Base64URL — chiunque può leggerli e chiunque può falsificarli. Solo la firma, verificata con il segreto o la chiave pubblica dell'emittente, dimostra che un token è autentico, e questo strumento deliberatamente non lo fa: la verifica della firma spetta al tuo server, con una libreria JWT adeguata. Per lo stesso motivo, non mettere mai password o altri segreti nel payload di un JWT — codificato non significa cifrato. Il token che incolli qui viene decodificato interamente nel tuo browser e non viene mai trasmesso, ma tratta i token di produzione come le credenziali che sono.
No — decodifica solo header e payload, e lo dichiara in ogni risultato. Un token decodificato non prova nulla sull'autenticità: verifica la firma sul tuo server con la chiave dell'emittente e una libreria JWT adeguata prima di fidarti di qualsiasi claim.
No. In un JWT firmato standard (JWS) header e payload sono solo codificati in Base64URL, leggibili da chiunque possieda il token. I JWT cifrati (JWE) esistono ma sono rari; non memorizzare mai segreti nel payload di un JWT normale.
Sono timestamp in secondi dall'epoch Unix: iat è quando il token è stato emesso, nbf è il momento prima del quale va rifiutato ed exp è quando scade. Questo strumento converte tutti e tre in date UTC leggibili e calcola per te lo stato di scadenza.
Le cause più comuni: incollare qualcosa che non è un JWT compatto (deve avere esattamente tre parti separate da punti), un token troncato da un copia-incolla, o caratteri extra intorno. Il prefisso "Bearer " viene gestito automaticamente; tutto il resto intorno al token no.
No. La decodifica avviene al 100% in locale in JavaScript — il token non viene mai trasmesso, registrato o salvato. Ciò detto, un JWT di produzione è una credenziale attiva: evita di condividerne screenshot e revoca i token che sospetti siano stati esposti.
Vai.la trasforma qualsiasi URL in un link breve con statistiche dei clic, QR Code e il tuo biolink personale.
Vai.la non è responsabile dell'uso degli strumenti né delle decisioni prese in base ai loro risultati.