Decodificatore di JWT
JWT Decoder
Decodifica intestazione e payload, mostra la scadenza delle claim in ora locale e verifica la firma con una chiave che fornisci tu.
Decodifica un JSON Web Token — intestazione, payload e firma — spiega che cosa significa ogni claim standard e può verificare la firma con un segreto condiviso, una chiave incollata o il JWKS dell’emittente. Tutto avviene nella scheda: il token in sé non viene mai mandato da nessuna parte.
Il token resta in questa scheda.
La decodifica e la verifica della firma girano tutte e due nel tuo browser, con WebCrypto. Non viene caricato niente e questa pagina non ha un lato server. L’unica richiesta che può partire è una GET verso un URL di JWKS che scrivi tu — quella richiesta porta con sé l’URL e nient’altro, mai il token e mai un segreto.
Token
Un `Bearer ` davanti viene tolto da sé.
Come si usa
Incollare il token
Un `Bearer ` iniziale viene tolto automaticamente. Intestazione, payload e firma si separano subito — nessun pulsante da premere.
Leggere prima la riga di stato
Scaduto, non ancora valido oppure dentro la sua finestra — calcolato sull’orologio locale. I claim temporali nella tabella del payload sono mostrati insieme come timestamp ISO, come ora locale e come secondi epoch grezzi.
Verificare la firma quando conta
Un segreto condiviso per HS256/384/512, oppure un URL JWKS o una chiave incollata per gli algoritmi asimmetrici. Decodificare non dimostra niente sull’autenticità — lo fa soltanto il controllo della firma.
Domande frequenti
È sicuro incollare qui un token di produzione?
Il token viene decodificato nel browser e non viene mai trasmesso: questa pagina non ha un lato server. L’unica richiesta che può fare è una GET a un URL JWKS digitato, che porta con sé l’URL e nient’altro. Anche così, un token in una scheda del browser è un token sullo schermo, quindi va trattato come si tratterebbe una password.
Chiunque può leggere il mio payload?
Sì. Un JWT è firmato, non cifrato: il payload è Base64URL, che è una codifica. In un JWT non va mai messo niente che non si metterebbe in un URL. È esattamente quello che questa pagina dimostra in un solo copia-incolla.
La firma è stata verificata: vuol dire che il token è buono?
Vuol dire che il token è stato firmato da chi possiede quella chiave e che da allora non è stato alterato. Non dice niente su scadenza, destinatario, emittente o revoca. La riga di stato copre la scadenza; il resto è compito dell’applicazione.
Perché non riesce a controllare il mio token ES256K o Ed448?
Perché la verifica usa la WebCrypto del browser, e quelle curve non ci sono. HS, RS, PS ed ES a 256/384/512 più Ed25519 sono quello che un browser sa fare; tutto il resto viene segnalato come non verificabile invece di passare in silenzio.
Può ricevere da
Codificatore e decodificatore Base64
Base64 Encoder & Decoder
Codifica e decodifica in Base64 e Base64URL testo o file, trattando correttamente l’UTF-8.
Verifica con JWKS
JWKS Verifier
Scarica un endpoint JWKS, sceglie la chiave dal kid e verifica la firma di un token e le sue claim standard.
Generatore di HMAC
HMAC Generator
Calcola un HMAC su un messaggio con l’hash e la codifica di chiave che scegli, per verificare la firma di un webhook.
Convertitore di timestamp Unix
Unix Timestamp Converter
Converte fra secondi e millisecondi epoch, ISO 8601 e date leggibili, in qualsiasi fuso orario.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Codificatore e decodificatore Base64
Base64 Encoder & Decoder
Codifica e decodifica in Base64 e Base64URL testo o file, trattando correttamente l’UTF-8.
Convertitore di timestamp Unix
Unix Timestamp Converter
Converte fra secondi e millisecondi epoch, ISO 8601 e date leggibili, in qualsiasi fuso orario.
Verifica con JWKS
JWKS Verifier
Scarica un endpoint JWKS, sceglie la chiave dal kid e verifica la firma di un token e le sue claim standard.
Generatore di coppie di chiavi
Key Pair Generator
Genera coppie di chiavi RSA, ECDSA o Ed25519 e le esporta in PEM, JWK o OpenSSH.
Conversione JSON ⇄ CSV
JSON ⇄ CSV
Appiattisce il JSON annidato in colonne o ricostruisce gli oggetti da una tabella, con i nomi di colonna a percorso puntato.
Confronto fra due JSON
JSON Diff
Confronta due documenti JSON per struttura, ignorando l’ordine delle chiavi e riportando i percorsi aggiunti, tolti e cambiati.