Decodificatore JWT

La sola decodifica non verifica l'autenticità, poiché l'intestazione e il payload sono solo codificati in base64url, non cifrati, e chiunque può leggerli senza una chiave. Per verificare se un token è stato realmente firmato dalla parte prevista, usa il campo di verifica della firma opzionale qui sotto, che supporta solo l'algoritmo HS256.

HS256 usa un unico segreto condiviso sia per firmare che per verificare, quindi questo strumento può controllare una firma usando solo il segreto che fornisci. RS256, ES256 e altri algoritmi asimmetrici firmano con una chiave privata e verificano con una chiave pubblica diversa, che questo strumento non raccoglie, quindi verificarli in modo sicuro è fuori dall'ambito di questo strumento.

Queste sono dichiarazioni standard di timestamp JWT, tutte espresse come tempo Unix (secondi dal 1970). exp indica quando il token scade, iat indica quando è stato emesso, e nbf ("not before") è il momento più presto in cui il token è considerato valido. Questo strumento convertirà automaticamente ognuna in una data leggibile.

Significa che la dichiarazione exp nel payload è un timestamp precedente all'ora attuale, quindi un server che valida correttamente questo token lo rifiuterebbe. Questo strumento controlla solo la dichiarazione e l'orologio del tuo dispositivo, non contatta alcun server.

Il token viene decodificato interamente nel tuo browser e non viene mai inviato da nessuna parte, quindi incollarlo qui è sicuro come visualizzarlo nella console per sviluppatori del tuo stesso browser. Detto ciò, tratta qualsiasi token con dichiarazioni sensibili come tratteresti una password, ed evita di incollare token in strumenti di cui non ti fidi.