Decodificatore JWT

Un JSON Web Token sembra un blocco illeggibile di caratteri, ma in realtà è composto da tre parti codificate in Base64URL e unite da punti: un header, un payload e una firma. Decodificare header e payload non è affatto crittografia — chiunque abbia il token può leggere i claim al suo interno, ed è proprio per questo che i dati sensibili non dovrebbero mai finire nel payload di un JWT. Il problema è che i token da ispezionare raramente sono dati di test usa e getta. Spesso si tratta di un token di sessione live di un'app in produzione, di un token di accesso API, o di un cookie di login copiato direttamente dagli strumenti per sviluppatori del browser mentre si fa debug — una credenziale reale che, nelle mani sbagliate, garantisce un accesso reale. Incollarla su un sito web qualsiasi significa consegnare la tua sessione a un server di cui non sai nulla.

Questo strumento non fa mai questo. Header e payload vengono decodificati con JavaScript puro eseguito nel tuo browser nell'istante in cui incolli un token — diviso in base ai punti, decodificato da Base64URL, interpretato come JSON — e nulla di tutto ciò viene trasmesso da nessuna parte. La verifica della firma funziona allo stesso modo, usando la Web Crypto API (`SubtleCrypto`) integrata in ogni browser moderno: gli algoritmi HMAC (HS256, HS384, HS512) vengono verificati rispetto a un segreto che digiti tu, mentre gli algoritmi RSA (RS256, RS384, RS512) rispetto a una chiave pubblica che incolli in formato PEM. Sia il segreto crittografico che la verifica stessa restano confinati a questa scheda del browser; aggiorna la pagina e tutto — token, segreto, chiave — scompare.

Incolla un token per vedere header e payload formattati in modo leggibile, insieme a una lettura dei claim standard `exp`, `iat` e `nbf` convertiti in una data comprensibile, con un chiaro badge "Scaduto" se l'`exp` del token è già passato — comodo per confermare che una segnalazione tipo "sono stato disconnesso" sia in realtà solo un token scaduto. Se l'algoritmo è HS256/384/512 o RS256/384/512, inserisci il segreto o la chiave pubblica corrispondente per controllare se la firma è autentica o è stata manomessa. Gli algoritmi al di fuori di questo insieme (come ES256 o il non firmato `none`) vengono comunque decodificati correttamente, ma la verifica non viene offerta invece di simulare un risultato. Per lo sviluppo locale, le caselle modificabili di header e payload ti permettono di modificare un claim — ad esempio cambiare un ID utente o un ruolo — e ri-firmare il token con lo stesso segreto HS256 usato dal tuo server di test, un modo comune per testare la logica di autorizzazione senza dover avviare un intero flusso di login.

Poiché il payload di un JWT è JSON semplice e leggibile una volta decodificato, si abbina naturalmente allo strumento JSON Formatter & Validator se hai bisogno di ispezionare più da vicino un claim profondamente annidato. Un promemoria sulla sicurezza che vale la pena ripetere: dato che la decodifica non richiede alcun segreto, tratta qualsiasi token come sensibile nel momento in cui hai finito di ispezionarlo, e ruota le credenziali pensate per essere solo temporanee se non sei certo di dove altro siano state incollate prima di arrivare qui.