Decodificatore JWT
Leggi header e payload di un token senza inviarlo da nessuna parte.
- Funziona nel tuo browser — il tuo testo non viene mai inviato da nessuna parte
- Nessuna registrazione, nessuna quota, gratis da usare quante volte vuoi
Come funziona
Incollare un JWT in un sito web è una pessima abitudine: un token attivo è una credenziale e l'hai appena consegnata a una terza parte. Questo strumento lo decodifica nella pagina, quindi il token non lascia mai il tuo computer.
Cosa contiene un JWT
Tre segmenti Base64URL separati da punti: un header che indica l'algoritmo, un payload di claim e una firma. I primi due sono codificati, non cifrati — chiunque abbia il token può leggerli.
Verificare la firma non è decodificare
Questo mostra cosa dice il token. Non verifica che la firma sia valida, perché serve il segreto di firma o la chiave pubblica. Un token decodificato non dimostra nulla sulla sua autenticità.
Scadenza
Se il payload contiene un claim di scadenza, viene mostrato come data leggibile e segnalato se è già passato — di solito proprio ciò che volevi sapere.
Decodificatore JWT — domande
Verifica la firma?
No. La verifica richiede la chiave di firma. Questo strumento decodifica e mostra solo il contenuto.
Il mio token viene inviato a un server?
No, ed è proprio questo il punto. Un token attivo è una credenziale e non va incollato in un servizio remoto.
Perché chiunque può leggere un JWT?
L'header e il payload sono codificati in Base64, non cifrati. La firma impedisce la manomissione, non la lettura.