JWT Decoder - JSON Web Token

Un JSON Web Token è una credenziale. Questa app lo decodifica, spiega cosa contiene e verifica la firma, interamente sul dispositivo e senza accesso alla rete.

DECODIFICA TUTTO CIÒ CHE SEMBRA UN TOKEN

Incolla un token o invialo da un'altra app: selezionalo in un log, in un comando curl, in un header Authorization o in una risposta JSON e scegli Condividi o «Decodifica JWT» nel menu del testo. Il token viene estratto dal testo circostante. Riconosce token firmati (JWS) e cifrati (JWE) e di un token danneggiato mostra tutto ciò che è leggibile.

LEGGI I CLAIM, NON IL BASE64

Ogni claim registrato è nominato e spiegato. I claim temporali appaiono come data più distanza — «scaduto 4 ore fa», «tra 12 minuti» — in ora locale, UTC o secondi. Riconosce circa novanta nomi di claim, inclusi OpenID Connect e quelli di Microsoft Entra, Firebase, AWS Cognito, Auth0 e Keycloak.

VERIFICA LA FIRMA

• HS256, HS384, HS512 con un segreto condiviso, come testo, base64, base64url o hex, a tua scelta

• RS256/384/512, PS256/384/512, ES256/384/512 ed ES256K con una chiave pubblica

• Chiavi in PEM, certificato X.509, JWK o un intero jwks.json: il key id del token sceglie la voce giusta

Il verdetto non è mai solo sì o no: «non corrisponde», «tipo di chiave errato», «curva errata» e «non verificabile qui» sono risposte diverse.

COSA NON VA

Trentacinque rilievi spiegati in una frase: «alg» impostato su none, una chiave incorporata nell'header, «nbf» dopo «exp», «exp» in millisecondi, claim duplicati, audience mancante… e il più importante: il payload è firmato, non cifrato. Chiunque abbia il token può leggerne ogni claim.

PENSATA PER CIÒ DI CUI NON TI FIDI

Nessun token, chiave o segreto viene trasmesso, e chiavi e segreti non vengono mai salvati. La cronologia mostra token mascherati, è limitata, cancellabile ed esclusa dal backup su cloud.

INOLTRE

• Tema chiaro e scuro secondo il sistema

• Dieci lingue

• Colori di sintassi e numeri esatti come scritti

• Tolleranza di sfasamento dell'orologio regolabile

• Apertura dei token annidati