Costruisci ricerche Google avanzate con dominio, tipo di file, frasi esatte ed esclusioni.
Inspector JWT
Decodifica header e payload di un JWT nel browser e leggi i claim temporali non verificati.
Come si usa
- Incolla un JWT compatto in tre parti entro il limite di 32 KiB.
- Decodifica per leggere header, payload ed eventuali date exp e nbf.
- Considera tutti i claim non attendibili. Copia o scarica solo quando opportuno; Azzera rimuove token e risultato dal modulo.
Esempi
Un token di prova volutamente non firmato
- Dati di partenza
- eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIn0.
- Risultato
- Header: {"alg":"none"}; payload: {"sub":"demo"}. Firma NON verificata. Non usare questo esempio per autenticarti.
Decodificare non significa verificare un JWT
Un JWT firmato in formato compatto contiene normalmente header, payload e firma base64url separati da punti. Questo inspector legge i primi due segmenti come oggetti JSON UTF-8 e controlla la struttura di base.
Non calcola o verifica firme, non autentica l’issuer, non controlla l’audience, non recupera chiavi e non autorizza richieste. Un token falsificato può contenere nomi plausibili e scadenze future. Il campo alg viene mostrato come ricevuto, compresi i token non firmati alg: none con firma vuota.
Come interpretare exp e nbf
I valori NumericDate del JWT rappresentano secondi dall’epoca Unix. Le date exp e nbf riconosciute vengono mostrate in UTC e confrontate con l’orologio del dispositivo. Claim mancanti e valori temporali non validi sono indicati separatamente.
Una exp nel passato o una nbf nel futuro può aiutare il debug, ma non costituisce una validazione completa. Contano anche l’orologio locale e le regole dell’applicazione. I JWE cifrati in cinque parti non sono supportati. Il token resta nella memoria del browser; pubblicità e tracciamento di terze parti sono disabilitati su questa pagina.
Domande e risposte.
Se il token viene decodificato è valido?
No. La decodifica dimostra solo che la struttura supportata è leggibile. Firma, issuer, audience e regole applicative richiedono un verificatore attendibile.
Il tool decifra i JWE?
No. Questa versione accetta JWT compatti in tre parti, non token cifrati in cinque parti, e non richiede chiavi.
Posso usarlo senza inviare il token?
La decodifica è locale: il tool non recupera chiavi, non inserisce token negli URL, non li salva nella memoria persistente e non li trasmette agli analytics.
Strumenti correlati
Valida, formatta o comprimi JSON localmente, conservando numeri originali e ordine delle chiavi.
Codifica testo UTF-8 in Base64 standard o decodifica Base64 in testo leggibile.