Come funziona
Dividi il token sui punti. I primi due segmenti sono JSON con codifica Base64URL; il terzo sono i dati della firma binaria. Questo strumento decodifica l'intestazione e il payload, stampa il JSON e converte iat ed exp dai secondi Unix in date leggibili. Non verifica mai la firma.
- La firma non viene controllata: si tratta di un decodificatore, non di un validatore. Non incollare mai i segreti di produzione in nessuno strumento online, incluso questo.
Perché è importante
La maggior parte dei bug JWT non sono crittografici. Si tratta di token scaduti con tempistiche confuse, attestazioni lette nell'unità sbagliata o payload attendibili da un client che non ha mai controllato la firma. Leggere correttamente il token risponde immediatamente alla maggior parte di queste domande.
Un esempio pratico
Il carico utile di un tipico token di accesso contiene sub, iat ed exp. La decodifica mostra le affermazioni come JSON e converte l'exp da secondi a una data leggibile, il che spiega immediatamente un errore "scaduto".
Errori comuni
- Leggere i reclami e ignorare completamente la verifica della firma.
- Incollare i token di produzione in qualsiasi strumento online.
- Confondere i timestamp in millisecondi con l'exp JWT basata sui secondi.
Consigli pratici
Debug con token emessi da un tenant di sviluppo, mai di produzione. Ricorda che la revoca di un JWT di solito richiede lo stato lato server; le scadenze brevi più i token di aggiornamento sono l'alternativa pratica alle blacklist.
Come usarlo
- Apri lo strumento. Tutto viene eseguito nella scheda del tuo browser.
- Incolla o digita il tuo input, quindi scegli l'azione che ti serve.
- Controlla il risultato e copialo con un clic.
Domande comuni
Verifica la firma?
No. Decodifica solo il token. Non considerare mai attendibili le attestazioni decodificate senza verificare la firma sul lato server.
Perché il mio token sembra scaduto?
Controlla la richiesta di scadenza rispetto all'ora corrente; lo sfasamento dell'orologio tra le macchine è una causa comune di token rifiutati.
È sicuro incollare i token di produzione?
Preferisci i token di prova. La decodifica avviene localmente, ma un token è ancora una credenziale una volta che lascia gli appunti.
Questo strumento è davvero gratuito?
SÌ. Non esiste alcun account, nessun paywall e nessun limite di utilizzo. L'app Tools è finanziata da aumenso, lo studio dietro di essa.
Tutto ciò che inserisco è stato caricato?
No. Lo strumento viene eseguito nella scheda del browser; ciò che inserisci non ci viene mai inviato e mai archiviato.