Go Toolstack

Ispettore Token JWT (JSON Web Token)

Decodifica, ispeziona e verifica le attestazioni dei token JWT senza inviare chiavi a server.

Ispettore Token JWT (JSON Web Token)

Decodifica, ispeziona e verifica le attestazioni dei token JWT senza inviare chiavi a server.

Come funziona

1
Inserisci o incolla testo
Digita o incolla il testo o codice nell'area di lavoro.
2
Applica la modifica
Esegui lo strumento per convertire, filtrare o formattare.
3
Copia il risultato
Copia l'output elaborato negli appunti con un clic.

Scopri altre utilità lato client in questa categoria

Hub Strumenti per Sviluppatori • Flussi di lavoro e guida comparativa

Esplora tutti gli strumenti di strumenti per sviluppatori, i limiti tecnici e la guida alla scelta.

Esplora hub →
Formattatore e Validatore JSON

Formatta, comprimi e valida dati JSON con precisione a 64 bit e regole JSON Schema (Draft-07 / 2020-12).
Codificatore e Decodificatore Base64

Codifica testi e file in formato Base64 e decodificali in testo non crittografato.
Formattatore e Minificatore SQL

Formatta, indenta, converti parole chiave in maiuscolo e minifica query SQL localmente.

Guide correlate del blog

Guide tecniche, risoluzione dei problemi e tutorial sulle migliori pratiche

Centro Concetti e Conoscenza

Decoder JWT: Ispezione Header, Decodifica Payload JSON e Controllo Scadenza

I JSON Web Token (JWT) costituiscono lo standard industriale aperto (RFC 7519) per la trasmissione compatta e sicura di attestazioni (claims) di identità tra client e server in architetture single sign-on (SSO), microservizi e protocolli OAuth 2.0 / OpenID Connect. Essendo composti da tre segmenti separati da punti e codificati in formato Base64URL, ispezionare il contenuto di un token Bearer ricevuto da un'API è essenziale per verificare permessi utente (scope), ruoli di accesso e scadenze temporali durante il debug applicativo.

Prendiamo come esempio un token Bearer restituito da un identity provider cloud. Incollando la stringa codificata eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c3JfOTgyMSIsIm5hbWUiOiJNYXJjbyBSb3NzaSIsInJvbGUiOiJhZG1pbiIsImV4cCI6MTcxOTU4MDgwMCwiaWF0IjoxNzE5NTQ0ODAwfQ..., il decoder separa istantaneamente i segmenti: l'Header evidenzia l'algoritmo di firma crittografica impiegato ('HS256' o 'RS256'), mentre il Payload espone in chiaro l'oggetto JSON con identificativo utente, ruolo 'admin' e i timestamp UNIX iat (data di emissione) ed exp (data di scadenza). Lo strumento confronta il valore exp con l'orologio di sistema locale, segnalando chiaramente se il token risulta attualmente attivo o se è scaduto.

La decodifica delle stringhe Base64URL e l'analisi dell'albero JSON operano esclusivamente nella memoria locale del tuo browser. I tuoi token di autenticazione aziendali, credenziali di sessione e chiavi di accesso non vengono mai inviati a server remoti, impedendo qualsiasi violazione di credenziali privilegiate.

Architettura di Base e Formula Matematica

Struttura JWT = Base64URL(Header JSON) . Base64URL(Payload Claims JSON) . FirmaCrittografica

Decodifica le prime due porzioni della stringa delimitate da punti convertendo da Base64URL a JSON leggibile e converte i timestamp epocali in date leggibili.

Migliori Pratiche e Linee Guida Essenziali

  • Non inserire mai informazioni riservate o password nel payload JWT: Il payload è semplicemente codificato in Base64URL e chiunque entri in possesso del token può leggerne il contenuto in chiaro.
  • Verifica sempre la firma crittografica sul server di ricezione: La decodifica client-side serve unicamente per ispezione visiva; il backend deve convalidare matematicamente la firma prima di accordare privilegi.
  • Controlla rigorosamente la claim di scadenza 'exp': Assicurati che i token di accesso abbiano una durata breve (es. 15 minuti) associati a Refresh Token gestiti in cookie protetti HttpOnly.
  • Fai attenzione all'algoritmo di firma specificato nell'header: Sul backend rifiuta categoricamente token con algoritmo specificato come 'none' per prevenire gravi falle di sicurezza (JWT None Algorithm Exploit).

Domande Frequenti (FAQ)

Decodificare un JWT significa che il token è autentico e sicuro?
No. La decodifica legge unicamente i dati in chiaro del payload. Solo la verifica della firma crittografica effettuata tramite la chiave segreta (HMAC) o pubblica (RSA) attesta che il token non sia stato contraffatto.
Cosa indicano le claim temporali standard exp, iat e nbf?
'exp' (Expiration Time) indica quando il token scade; 'iat' (Issued At) registra la data e ora di emissione; 'nbf' (Not Before) stabilisce l'istante prima del quale il token non deve essere accettato.
Qual è la differenza pratica tra algoritmo HS256 e RS256?
HS256 è un algoritmo simmetrico che usa una singola chiave segreta condivisa sia per firmare che per verificare; RS256 è asimmetrico e richiede una chiave privata per firmare e una chiave pubblica per validare.
C'è il rischio che i token analizzati vengano intercettati dai server?
Nessun rischio: l'analisi avviene integralmente nel motore JavaScript locale del tuo browser senza alcuna trasmissione telematica del token attraverso la rete.