Perché qualcuno può decodificare il mio JWT senza il segreto?

Perché i JWT sono firmati, non crittografati. L'intestazione e il carico utile sono Base64URL semplici - una codifica reversibile, non la crittografia - e il segreto è solo necessario per creare o verificare la firma nel terzo segmento. Questo è in base alla progettazione: i clienti spesso devono leggere affermazioni come la scadenza a livello locale. La regola che segue: non mettere mai segreti, password o PII non mostreresti l'utente all'interno di un payload JWT.

Posso decodificare un token JWT online gratuitamente senza installare nulla?

Sì. Incolla il token, o l'intero valore dell'intestazione dell'autorizzazione, nella casella Token JWT e fai clic su Decodifica; è gratuito, nessuna iscrizione ed esegue il lato client nella pagina Ottieni l'intestazione e il payload come JSON formattato, ciascuno con un pulsante Copia, un banner che dice se il token è scaduto e una tabella che converte exp, iat e nbf in date UTC. Solo i token firmati a 3 segmenti decodificano; un token crittografato a 5 segmenti restituisce un errore.

Perché la tabella dei sinistri dice che il mio token scade tra migliaia di anni?

Il tuo token molto probabilmente memorizza exp in millisecondi invece che in secondi RFC 7519 definisce exp, iat e nbf come secondi dal 1970, quindi un valore di 13 cifre come 1767229200000 viene letto come una data a decine di migliaia di anni di distanza e mostrato come Valido Dividi per 1000 all'emittente Un reclamo memorizzato come stringa, come "1767229200", non è un numero ed è lasciato fuori dalla tabella interamente Lo stato viene giudicato anche rispetto al tuo orologio del dispositivo senza margine di manovra, quindi un token a pochi secondi dalla scadenza può leggere diversamente qui rispetto a un server che consente l'inclinazione del clock.

Perché questo strumento non verifica la firma?

La verifica richiede la chiave di firma - il segreto condiviso per HS256 o la coppia di chiavi private/pubblica per RS256 - e incollare un segreto HMAC in una pagina Web è esattamente l'abitudine che porta a chiavi trapelate. La verifica appartiene al tuo server utilizzando una libreria mantenuta (JSONWebToken, Jose, PyJWT). Questo strumento risponde "Ciò che c'è in questo token ed è scaduto", che copre la maggior parte dei debug quotidiani.

Il mio token decodifica correttamente ma l'API restituisce 401. cosa devo controllare?

In ordine di probabilità: l'affermazione EXP è passata (controlla la tabella dei reclami), l'affermazione AUD o ISS non corrisponde a ciò che l'API convalida, la chiave di firma è stata ruotata in modo che il bambino nell'intestazione non si risolva più o NBF sia di pochi secondi in futuro a causa di un'inclinazione dell'orologio tra l'emittente e il verificatore. La decodifica ti mostra i primi tre all'istante; distorcere la diagnosi confrontando IAT con il tuo orologio.

Qual è la differenza tra un JWT e un token di sessione?

Un token di sessione classico è un ID casuale opaco; tutto lo stato vive lato server e la revoca di una sessione sta eliminando una riga. Un JWT porta il suo stato dentro di sé e viene verificato dalla sola firma, quindi il server non ha bisogno di un archivio di sessioni - ottimo per il ridimensionamento orizzontale e l'autenticazione tra servizi trasversali - ma la revoca prima della scadenza richiede macchinari extra come un denylist. Questo compromesso è il motivo per cui il modello standard è JWTS di breve durata (15 minuti) abbinato a un token di aggiornamento revocabile.

Cosa significano exp, iat, nbf, sub, iss e aud?

Queste sono le rivendicazioni registrate da RFC 7519. EXP/IAT/NBF sono timestamp unix: quando il token scade, quando è stato emesso e quando inizia a essere valido. sub è l'oggetto (di solito l'ID utente), ISS è l'emittente (il tuo server di autenticazione) e AUD è il pubblico previsto (l'API che dovrebbe accettarlo). I verificatori dovrebbero controllare EXP, ISS e AUD al minimo: le librerie lo fanno quando le configuri correttamente.

Qual è l'attacco di Alg:nessun attacco su questo strumento?

Le specifiche JWT tecnicamente consentono "nessuno" come algoritmo, il che significa un token non firmato. Le prime librerie accetterebbero un token la cui intestazione rivendicava Alg:none e ignorava completamente la verifica, consentendo agli aggressori di forgiare payload arbitrari semplicemente modificando la base64. Le librerie moderne lo rifiutano per impostazione predefinita, ma il decoder lo segnala comunque: se mai vedi Alg:none su un vero token, qualcosa è gravemente sbagliato a monte.

Perché il mio token ha 5 segmenti invece di 3?

Questo è un JWE - un JWT crittografato - con segmenti per l'intestazione protetta, la chiave crittografata, IV, il testo cifrato e il tag di autenticazione. A differenza di un semplice JWS, il payload è davvero crittografato, quindi nessun decoder può mostrarlo senza la chiave di decrittazione. Questo strumento gestisce la varietà comune con segno a 3 segmenti; un token a 5 segmenti deve essere decrittografato dal gruppo che tiene la chiave.

Devo memorizzare JWT in localStorage o cookie?

LocalStorage è leggibile da qualsiasi JavaScript sulla pagina, quindi una singola vulnerabilità XSS consegna all'attaccante il tuo token. Un cookie HTTPonly, sicuro e SameSite è invisibile agli script, che chiude il percorso XSS-furto a costo di una protezione CSRF. La maggior parte delle linee guida sulla sicurezza si basa sui cookie HttpOnly per il token di aggiornamento, con il token di accesso di breve durata conservato solo in memoria.

Posso decodificare i token scaduti?

Sì, la scadenza non influisce affatto sulla decodifica, poiché EXP è solo un numero nel carico utile. Il decoder lo contraddistinguerà di rosso e mostrerà quanto tempo fa è scaduto, che spesso è esattamente ciò di cui hai bisogno per il debug post-incidente: estrai un token dai vecchi registri, decodifica e confermi se era ancora valido al momento della richiesta in questione.

Decoder JWT

Decodifica intestazioni e payload JWT, ispeziona i reclami e la scadenza del token di controllo

JWT Token

Decode only - the signature is NOT verified. No secret required, nothing leaves your browser.

Cos'è il decoder JWT?

Il decoder JWT divide un token Web JSON nei suoi tre segmenti separati da punti, Base64url-decode l'intestazione e il carico utile e rende entrambi i JSON formattati. I JWT non sono crittografati - la "codifica" è solo Base64URL, una trasformazione reversibile, quindi chiunque abbia un token può leggere ogni affermazione al suo interno. Questo strumento rende l'ispezione istantanea: incolla un token da un'intestazione del cookie set, un'intestazione di autorizzazione (il prefisso del portatore viene rimosso automaticamente) o il dashboard del tuo provider di autenticazione e guarda esattamente cosa ha inserito il tuo server.

La tabella dei sinistri è il luogo in cui avviene il debug I sinistri a tempo registrato - exp (scadenza), iat (emesso a) e nbf (non prima) - sono timestamp Unix, inutili da leggere non elaborati Il decoder converte ciascuno in una data UTC e un tempo relativo, mostrato come "Scaduto (3 ore fa)" o "Valido (scade in 14 minuti)", e contrassegna i token scaduti in rosso La maggior parte degli incidenti "401 Non autorizzato, ma il token sembra a posto" si riducono a una scadenza scaduta, un nbf distorto dal clock o un'affermazione aud che non corrisponde a ciò che l'API convalida - tutti visibili qui in due secondi.

Una cosa che questo strumento non fa deliberatamente: verificare le firme. La verifica richiede la firma segreta (HS256) o la chiave pubblica (RS256/ES256) e uno strumento lato client che ti chiede di incollare un segreto HMAC sarebbe insegnare cattive abitudini. La decodifica è al 100% lato client: il token non lascia mai il browser, non colpisce nessun server e non appare in nessun registro di richiesta, il che conta perché una produzione in diretta JWT è una credenziale al portatore. Chi l'ha, sei tu.

La decodifica non sta verificando e la distinzione è l'intero modello di sicurezza di un JWT. L'intestazione e il carico utile sono base64URL, non crittografati, quindi chiunque abbia un token può leggere ogni claim senza alcuna chiave. Ciò che fornisce la firma è la prova che i contenuti non sono stati alterati e controllarlo richiede la chiave segreta o pubblica, che è un'operazione lato server. Tratta il carico utile come informazioni pubbliche: non mettere mai nulla di sensibile in esso.

Un modo rapido per decodificare un token JWT online e verificare il risultato: incollare Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ.sig e fare clic su Decodifica Il prefisso Bearer viene eliminato, il pannello Header mostra {"alg": "HS256", "typ": "JWT"} e il pannello Payload, che funziona come un visualizzatore di payload JWT con il proprio pulsante Copia, mostra sub "42", iat 1767225600 ed exp 1767229200. La tabella dei sinistri trasforma quelli in 2026-01-01T00:0000:00Z00000 e il segmento di segnaposto: non viene mai decirato, e il testo scaduto qui.

Come usare il decoder JWT?

Incolla il tuo token
Rilascia il JWT nell'area di input. Afferralo dall'intestazione di autorizzazione nella scheda Rete del tuo browser DevTools, un cookie, un localStorage o una risposta di ricciolo. Un prefisso "portatore" e gli spazi bianchi circostanti vengono rimossi automaticamente, quindi puoi incollare l'intero valore dell'intestazione senza pulizia.
Leggi l'intestazione decodificato e il carico utile
Entrambi i segmenti vengono visualizzati come JSON formattato fianco a fianco. L'intestazione ti dice l'algoritmo di firma (ALG: RS256, HS256, ecc.) e Key ID (Kid) - Utile quando la tua rotazione JWKS si comporta male. Il payload contiene le attestazioni: sub, ISS, AUD, ambiti, ruoli e qualsiasi dato personalizzato aggiunto al tuo livello di autenticazione.
Controllare la tabella dei reclami per la scadenza
Le rivendicazioni temporali (exp, IAT, NBF) vengono decodificate da unix secondi in date leggibili con orari relativi. Un'exp scaduta mostra in rosso esattamente quanto tempo fa è scaduto; uno valido mostra in verde con il tempo rimanente. Se NBF è in futuro, di solito distorce l'orologio tra i tuoi server, il token verrà rifiutato anche se "sembra" a posto.
Ricorda: decodificato, non verificato
Questo strumento non controlla mai la firma, che richiede la chiave segreta o pubblica e appartiene al tuo server, non in uno strumento browser. Non trattare mai le affermazioni decodificate come input affidabili: un utente malintenzionato può coniare un token con qualsiasi carico utile desiderato. Solo una firma verificata dimostra che le affermazioni provenivano dall'emittente non modificato.

Caratteristiche principali

Intestazione istantanea + decodifica del carico utile
Decodifica Base64URL in puro dattiloscritto - entrambi i segmenti JSON formattati e leggibili immediatamente
Rilevamento della scadenza
Rivendicazione EXP contrassegnata in rosso quando è scaduta, verde quando valida, con un tempo relativo esatto in entrambi i casi
Rivendicazioni sul tempo umanizzate
Exp, IAT e NBF convertiti da secondi Unix grezzi a date ISO e fraseggio in stile "3 ore fa".
Portatore-prefisso tollerante
Incolla l'intera intestazione di autorizzazione - "portare" e gli spazi bianchi vaganti vengono rimossi automaticamente

Frequently Asked Questions

La decodifica in sé è sicura: avviene interamente nel tuo browser e il token non viene mai inviato in rete - verifica che nella scheda Rete DevTools, se lo desideri. L'attenzione più ampia è che una produzione dal vivo JWT è una credenziale portatrice, quindi trattala come una password ovunque tu la incolli. Per strumenti di terze parti non attendibili, preferisci i token scaduti o quelli da un ambiente di staging.

Related Tools

security

Bcrypt Generator

Generate and verify bcrypt password hashes in the browser with an adjustable cost factor

security

JWT Generator

Generate and sign JSON Web Tokens with HS256, HS384, or HS512, add standard claims, and copy the token. Runs client-side.

security

Password Generator

Generate strong, random passwords with custom character sets and strength analysis

security

Password Strength Checker

Test how strong a password is with an entropy-based strength meter, estimated crack times, and specific suggestions to make it harder to guess - all processed privately in your browser.

Comments

0 comments

No comments yet. Be the first to share your thoughts!

jwtjwt decoderjson web tokendecode jwtjwt debuggertoken decoderjwt claimsexp claimbearer tokendecode jwt token onlinejwt token decode onlinejwt payload viewerinspect jwt claims

sapersi di più

Leggi la guida completa Decoder JWT

Command Palette

Decoder JWT

Cos'è il decoder JWT?

Come usare il decoder JWT?

Incolla il tuo token

Leggi l'intestazione decodificato e il carico utile

Controllare la tabella dei reclami per la scadenza

Ricorda: decodificato, non verificato

Caratteristiche principali

Intestazione istantanea + decodifica del carico utile

Rilevamento della scadenza

Rivendicazioni sul tempo umanizzate

Portatore-prefisso tollerante

Frequently Asked Questions

Related Tools

Bcrypt Generator

JWT Generator

Password Generator

Password Strength Checker

Comments

sapersi di più