Decodificatore JWT

Decodifica qualsiasi JSON Web Token nel tuo browser

Questo decodificatore JWT trasforma una stringa opaca eyJ… in JSON leggibile all'istante. Incolla un JSON Web Token e lo divide ai punti, decodifica in Base64URL l'intestazione e il payload, e li visualizza entrambi affiancati e formattati, con la firma grezza mostrata separatamente. È il modo più veloce per eseguire il debug di un flusso di autenticazione, ispezionare un token dalla risposta di un'API o confermare esattamente quali claim sta emettendo il tuo backend.

Ogni parte del token ha un codice colore — intestazione, payload e firma — così le tre sezioni di header.payload.signature sono facilmente distinguibili a colpo d'occhio. Nessun account richiesto, nessun caricamento su server e nessun limite giornaliero di decodifiche.

Leggi i claim e controlla la scadenza in un colpo d'occhio

Il decodificatore evidenzia i claim registrati standard definiti nell'RFC 7519 — iss, sub, aud, exp, nbf, iat e jti — in una tabella chiara con il significato in linguaggio semplice per ognuno. I tre claim temporali sono secondi dell'epoca Unix, che è facile leggere erroneamente, quindi lo strumento li converte nella tua data e ora locale e aggiunge un suggerimento relativo come 'emesso 5 minuti fa' o 'scade tra 59 minuti'.

La cosa più importante è che risponde alla domanda che di solito apri un debugger JWT per porre: questo token è ancora valido? Il claim exp viene confrontato con l'ora corrente e il token viene automaticamente contrassegnato come Valido o Scaduto, rispettando anche nbf, così puoi vedere immediatamente se un token scaduto è il motivo per cui una richiesta viene rifiutata.

Verifica la firma — HS256, RS256 ed ES256

Decodificare mostra cosa afferma un token; verificare prova che puoi fidarti di esso. Questo strumento è anche un verificatore di firme JWT: legge l'algoritmo dall'intestazione e verifica la firma localmente con la Web Crypto API del browser. Per HS256, HS384 e HS512 fornisci il segreto HMAC condiviso; per RS256, PS256 e ES256 (e le loro varianti 384/512) incolli la chiave pubblica dell'emittente in formato PEM.

Poiché i calcoli vengono eseguiti sul tuo dispositivo, puoi confermare che un token è autentico — che nessuno ha alterato il payload — senza inviare il token, il segreto o la chiave a nessun server. Un segno di spunta verde significa che la firma corrisponde; una croce rossa significa che il token è stato modificato o stai usando la chiave sbagliata.

Costruisci e codifica un JWT

Hai bisogno di andare nella direzione opposta? Il codificatore JWT integrato ti permette di creare un token da zero. Modifica l'intestazione e il payload come JSON, scegli un algoritmo HMAC, inserisci un segreto e produce un token header.payload.signature correttamente firmato pronto per essere copiato in una richiesta o in un test. Pratici tasti rapidi aggiungono claim iat e exp aggiornati affinché i token di test abbiano timestamp realistici.

Questo rende UtiloKit un decodificatore e codificatore jwt combinato — ispeziona i token che arrivano dalla tua API e crea nuovi token da inviare, tutto nello stesso posto. È lo stesso flusso di lavoro che gli sviluppatori usano con jwt.io, ma senza coinvolgimento del server e senza bisogno di account.

Confronto con jwt.io, token.dev e jwtdecode.com

jwt.io è lo strumento JWT più riconosciuto sul web — sviluppato da Auth0, ampiamente linkato nella documentazione e affidabile per milioni di sviluppatori. La sua principale limitazione è la privacy: jwt.io invia il tuo token ai server di Auth0 in alcune configurazioni.

token.dev e jwtdecode.com coprono la decodifica di base ma non supportano la verifica delle firme RS256/ES256 con una chiave PEM — l'algoritmo utilizzato da Auth0, Google, Microsoft Azure AD, Okta e la maggior parte dei provider OIDC aziendali.

Questo decodificatore di UtiloKit gestisce tutto questo nel browser: decodifica, controllo della scadenza e verifica completa delle firme per le famiglie di algoritmi HS/RS/PS/ES — gratuito, senza account, senza limite giornaliero e senza che nulla lasci il tuo dispositivo.

Sicurezza JWT: cosa può e non può proteggere il token

Un JWT è firmato per l'integrità, non crittografato per la riservatezza. Chiunque abbia il token può leggere ogni claim nel payload — la codifica Base64URL è banalmente reversibile, come dimostra questo decodificatore. Quindi il payload dovrebbe contenere solo identificatori non sensibili: un ID utente, un ruolo o un'email. Non inserire mai password, dati di pagamento o chiavi API in un payload JWT.

La firma protegge dalla manomissione: se un attaccante modifica anche un solo carattere del payload, la firma non corrisponderà più e qualsiasi server che verifichi con la chiave corretta rifiuterà il token. Il classico attacco alg: none aggira questo affermando che non viene utilizzato nessun algoritmo — una vulnerabilità ben nota (CVE-2015-9235) che qualsiasi libreria JWT di produzione dovrebbe bloccare.

Mantieni brevi i tempi di vita dei token usando exp, trasmetti tramite HTTPS, archivia in memoria o in cookie httpOnly (non localStorage), e verifica le firme a ogni richiesta. Decodifica e ispeziona i tuoi token con questo strumento gratuito per confermare che queste proprietà siano impostate correttamente prima di distribuire in produzione.