Decodifica un token demo
Input Il token precompilato, exp = 1700003600.
Risultato Algoritmo HS256, tipo JWT, quattro claim, scadenza 2023-11-14 23:13:20 UTC.
Decodificatore JWT
Developer ToolsIncolla un JSON Web Token per leggere intestazione, payload e scadenza esatta, decodificato in locale senza inviare il token.
I tuoi dati
Risultato
Stato
—
- Scadenza —
- Algoritmo —
- Tipo di token —
- Payload —
- Header —
Cambia qualsiasi valore e il risultato si aggiorna subito.
Formula e regole
- Un JWT contiene tre parti Base64URL separate da punti: header, payload e firma.
- Base64URL sostituisce + con - e / con _, e rimuove il padding =, così i token sopravvivono a URL e header HTTP.
- Il claim exp è un timestamp Unix in secondi, quindi un token scade quando l'ora corrente supera quel numero.
- La decodifica legge solo le due parti JSON; non verifica mai la firma, che il server deve controllare.
Esempi svolti
Un token senza exp
Input Un payload di {"sub":"42","scope":"read"}.
Risultato Lo stato indica che il token non ha un claim di scadenza, quindi non scade mai da solo.
Un token troncato
Input abc.def
Risultato Un errore spiega che un JWT deve avere tre parti prima che qualsiasi cosa possa essere decodificata.
Domande frequenti
La decodifica dimostra che il token è autentico?
No. Chiunque può creare un token con il payload che preferisce. Solo un server che verifica la firma con la chiave segreta o pubblica può stabilire se un token è stato emesso da te.
È sicuro incollare un token di produzione?
La decodifica avviene nel tuo browser, quindi il token non viene caricato. Trattalo comunque come una password: preferisci un token di test e ruota tutto ciò che incolli in una schermata condivisa.
Perché un token appena generato è già scaduto?
O l'orologio dell'emittente è indietro rispetto al tuo, oppure è stato passato un valore exp in millisecondi dove sono attesi i secondi. Questo strumento legge exp in secondi, in conformità con la specifica JWT.
E se l'header o il payload non è JSON?
Il decoder segnala un errore. La specifica JWT richiede che entrambe le parti siano oggetti JSON codificati in base64url, quindi una parte non JSON di solito significa che la stringa non è affatto un JWT.
Avvertenza: I risultati seguono la formula mostrata in questa pagina e sono solo indicativi. Le quantità reali variano con materiali, tecnica e condizioni: lascia un margine prima di ordinare.