Decodificatore JWT

Questi termini si riferiscono all'algoritmo di firma nell'header del JWT. HS256 (HMAC-SHA256) utilizza una chiave segreta condivisa — la stessa chiave viene usata per firmare e per verificare. Ciò significa che chiunque possieda la chiave può creare token validi. RS256 (RSA-SHA256) utilizza una coppia di chiavi pubblica/privata — il server firma con una chiave privata e pubblica una chiave pubblica per la verifica. RS256 è più sicuro nei sistemi distribuiti perché i verificatori hanno bisogno solo della chiave pubblica e non possono falsificare i token. Questo decoder ti mostra il campo alg ma non può verificare nessuno dei due algoritmi — legge solo ciò che c'è all'interno.

No. La verifica della firma richiede il segreto (per gli algoritmi HMAC) o la chiave pubblica (per gli algoritmi RSA/EC) che è stato usato per firmare il token. Questo strumento decodifica solo — esegue la decodifica Base64url dell'header e del payload per mostrarti il contenuto senza alcuna verifica crittografica. La sezione della firma viene visualizzata così com'è ma non viene validata. Per la verifica della firma, utilizza la tua libreria JWT lato server (jsonwebtoken per Node.js, PyJWT per Python, java-jwt per Java, ecc.).

I registered claims sono campi del payload standardizzati definiti nella RFC 7519. I sette standard claims: iss (issuer) — chi ha emesso il token; sub (subject) — di chi riguarda il token (solitamente un ID utente); aud (audience) — destinatari previsti; exp (expiration time) — timestamp Unix dopo il quale il token non è valido; nbf (not before) — timestamp Unix prima del quale il token non deve essere accettato; iat (issued at) — timestamp Unix di quando il token è stato creato; jti (JWT ID) — identificatore unico per il token. Questo strumento converte exp, nbf e iat da timestamp Unix a date leggibili dall'uomo.

Il decoder controlla il claim exp rispetto all'ora attuale e segnala chiaramente i token scaduti. Un token scaduto significa che l'API lo rifiuterà con una risposta 401 Unauthorized — devi usare il tuo refresh token per ottenere un nuovo access token (se il tuo sistema di autenticazione supporta i refresh token) o effettuare nuovamente l'accesso. Se stai debuggando un errore "expired token" da un'API, questo decoder ti mostrerà esattamente quando il token è scaduto e quando è stato emesso.

Il campo alg nell'header viene visualizzato come decodificato — se un token ha "alg":"none" lo vedrai. Questa è una nota vulnerabilità JWT: alcune implementazioni iniziali accettavano token senza firma (alg:none), permettendo agli attaccanti di falsificare payload arbitrari. Qualsiasi libreria JWT implementata correttamente rifiuta i token alg:none per impostazione predefinita. Se vedi alg:none in un token del tuo sistema, si tratta di un bug di sicurezza critico che richiede attenzione immediata.

No. Tutta la decodifica avviene nel tuo browser usando JavaScript — la decodifica Base64url non richiede alcun calcolo lato server. I tuoi token JWT, inclusi eventuali ID utente, ruoli o dati di sessione che contengono, non lasciano mai il tuo dispositivo. Detto questo, fai attenzione a incollare token JWT di produzione in qualsiasi strumento online — anche questo. Per debuggare problemi di autenticazione in produzione, usa invece la scheda network degli strumenti per sviluppatori del tuo browser o il tuo sistema di logging.

Un JWT valido deve avere esattamente due punti che separano tre sezioni codificate in Base64url. Se un token non ha punti, non è un JWT — potrebbe essere un token opaco (un identificatore casuale che richiede una ricerca lato server) piuttosto che un JWT autocontenuto. Alcuni sistemi usano entrambi i tipi: un refresh token opaco e un access token JWT. Se ricevi un errore "Invalid JWT format", verifica di aver incollato l'access token (che dovrebbe iniziare con "ey") e non il refresh token.