Puffinmint
IT
Italiano English Español Français Deutsch Português (Brasil) 日本語 한국어 Polski Türkçe

JWT decoder

Leggi header e payload JSON di un JWT senza inviarlo a servizi esterni.

Leggi header e payload di un JWT nel browser per esaminare i dati dichiarati. La decodifica non verifica la firma e non dimostra che il token sia valido.

I tuoi dati restano quiPUFFINMINT

Imposta i dati

Imposta i dati

Incolla un JWT compatto a tre parti. Questo strumento decodifica il contenuto: NON verifica la firma e NON autentica il token.

Risultato

Inserisci i dati e avvia lo strumento. Il risultato apparirà qui.

I valori che inserisci restano in questa pagina. Si cancellano quando la ricarichi o la chiudi.

Contiamo quali strumenti sono più usati, senza includere nelle statistiche i valori inseriti o il contenuto dei file. Privacy

Quando usare un decoder JWT

È utile durante il debug di applicazioni e integrazioni per vedere quali campi contiene un token. Un JWT firmato può avere un payload leggibile: codifica base64url e cifratura sono operazioni diverse.

Decodificare il token passo dopo passo

  1. Incolla il solo token, senza il prefisso Bearer, nel campo dedicato.
  2. Premi Decodifica per leggere i due oggetti JSON.
  3. Confronta i claim con le attese dell’applicazione; per una data exp usa il convertitore timestamp in secondi.

Come vengono letti header e payload

Il motore richiede tre parti separate da punti. Decodifica header e payload da base64url in UTF-8, controlla che siano oggetti JSON e li formatta. La terza parte non viene verificata; anche una firma vuota può essere accettata sintatticamente.

Interpretare i claim senza considerarli verificati

Il risultato contiene i campi header e payload. I nomi e i valori sono dati dichiarati dal token: possono essere alterati. Una data exp leggibile non prova né autenticità né autorizzazione.

Claim dichiarati nel payload
CampoSignificato generale
subIdentificativo del soggetto
expScadenza dichiarata in secondi Unix
iss / audEmittente e destinatario previsti

Esempio con un token dimostrativo

Token senza firma, solo per comprendere il formato

Dati inseriti
eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIiwiZXhwIjoxNzA0MDY3MjAwfQ.
Risultato
{"header":{"alg":"none"},"payload":{"sub":"demo","exp":1704067200}}

L’esempio usa alg=none e una firma vuota. Mostra sub=demo ed exp=1704067200: quest’ultimo indica il 1° gennaio 2024 alle 00:00 UTC. Il decoder lo mostra senza decidere se il token sia scaduto.

Limiti e controlli che il decoder non esegue

Il limite è 16.000 caratteri. I JWE cifrati a cinque parti e i payload che non sono oggetti JSON non sono supportati. I valori restano nella pagina fino alla ricarica e non vengono inviati al servizio di conversione. Il contenuto è mostrato come testo, senza eseguire HTML nei claim.

Fonti e approfondimenti

Domande frequenti

Un risultato leggibile significa che posso autorizzare l’accesso?

No. L’applicazione deve verificare firma, algoritmo ammesso, emittente, destinatario e vincoli temporali secondo il proprio protocollo. Questo decoder non esegue tali controlli.

Perché un token cifrato non viene aperto?

Un JWE richiede un processo di decifratura e le chiavi appropriate. Questo strumento legge solo il formato compatto a tre parti e non decifra i token.

Potrebbero servirti anche

Vedi tutti

Convertitore timestamp Unix

Converti timestamp Unix in date UTC e viceversa, in secondi o millisecondi.

Formattatore JSON

Formatta o compatta JSON preservando numeri e chiavi duplicate. Elaborazione nel browser: 1 milione di caratteri in ingresso, 100 livelli, 4 milioni in uscita.

Convertitore Base64

Codifica e decodifica testo UTF-8 in Base64 standard o Base64url. Testo fino a 200.000 caratteri; stringhe Base64 fino a 1 milione. I file binari non sono supportati.

Preferiti