Decodificatore JWT

Cos'è un JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Caratteristiche principali

Esempi

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Come si usa

1. 1

   Incolla il tuo JWT da decodificare

   Incolla il token completo da decodificare — inclusi i tre segmenti separati da punti — nella casella di input. Il decodificatore gira istantaneamente nel tuo browser; non serve cliccare alcun pulsante.

2. 2

   Leggi intestazione, payload e stato decodificati

   Leggi l'algoritmo e il tipo di token nell'intestazione decodificata, le attestazioni nel payload decodificato e i chip di scadenza / ora di emissione in alto. Un token scaduto viene segnalato in rosso.

3. 3

   Copia l'output decodificato

   Usa il pulsante Copia su ciascun pannello per copiare il JSON dell'intestazione decodificata, il JSON del payload decodificato o la firma grezza. Il tuo token non è mai stato inviato da nessuna parte — la decodifica è avvenuta localmente nel tuo browser.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Casi d'uso comuni

Decodifica i token Authorization Bearer

Decodifica i token JWT dagli header Authorization: Bearer per verificare le attestazioni, l'audience e la scadenza che il tuo backend sta ricevendo.

Decodifica i token OAuth 2.0 e OIDC

Decodifica gli access token e gli ID token restituiti dai server di autorizzazione (Auth0, Okta, Google, Keycloak) durante l'integrazione OAuth 2.0 e OpenID Connect.

Diagnosi di sessioni scadute

Conferma in un secondo se un token rifiutato è scaduto, usa l'audience sbagliata o ha un problema di sfasamento dell'orologio.

Controlli di rotazione delle chiavi

Leggi il kid (key ID) nell'intestazione per verificare che la tua rotazione JWKS stia distribuendo token firmati con la chiave attesa.

Revisioni di sicurezza

Individua token firmati con alg:none, privi di exp o che espongono PII nel payload durante code review e pentesting.

Ispezione di token tra microservizi

Decodifica i token service-to-service all'interno di una mesh per vedere quali scope e soggetto una chiamata a valle sta autorizzando.

Dettagli tecnici

Conforme a RFC 7519

Gestisce token JWS conformi a RFC 7519 (JWT), RFC 7515 (JWS) e RFC 7518 (JWA) — tutti gli algoritmi registrati sono supportati per la decodifica.

Decodifica Base64URL

Usa l'alfabeto Base64 URL-safe (- e _ al posto di + e /) definito in RFC 4648, con parsing tollerante al padding.

Nativo del browser, zero dipendenze

Costruito sui nativi atob, TextDecoder e JSON.parse del browser — nessuna libreria esterna, nessuna chiamata di rete, nessuna telemetria.

Buone pratiche

Non fidarti mai senza verificare

Un decodificatore mostra le attestazioni; non le dimostra. Verifica sempre la firma lato server contro la chiave dell'emittente prima di fidarti di qualsiasi attestazione.

Rifiuta alg:none in produzione

Configura la tua libreria JWT con una allowlist esplicita di algoritmi. Non accettare mai alg:none e diffida dei mismatch di alg sulla rotazione delle chiavi.

Mantieni i payload snelli

Metti identificatori e attestazioni a breve scadenza nel JWT; tieni i dati voluminosi dietro un ID di sessione opaco. I token grandi costano banda a ogni richiesta.

Domande frequenti