Come utilizzare JWT Decoder: guida completa (2026)

Cos'è JWT Decoder?

Un decoder JWT divide un JSON Web Token nelle sue tre parti Base64URL così puòi leggere header, claim del payload e firma. Il Decoder JWT gratuito di ToolsMinify formatta il JSON nel browser e non verifica mai la firma in Decode. La scheda Encode sulla stessa pagina firma token di test HS256 compatti con Web Crypto - il secret non lascia il dispositivo. Nulla di ciò che incolli viene caricato.

Decodifica header, payload e firma JWT nel browser. Codifica token test HS256 sulla stessa pagina. Decoder JSON Web Token gratuito - nulla caricato.

Perché usare JWT Decoder?

• Ispeziona header, payload e firma in una vista
• JSON formattato con pulsante copia per sezione
• Rimuove automaticamente un prefisso Bearer opzionale
• Errori chiari per struttura, Base64URL o JSON non validi
• La scheda Encode firma token HS256 nel browser - nessun URL nuovo
• Chip NumericDate per iat/exp più controllo secret a 32 byte
• Solo decode, completamente lato client - il token resta sul dispositivo

Come usare JWT Decoder - passo passo

1. Passo 1: Decode e tab default. Incolla JWT. Prefisso Bearer opzionale e rimosso automaticamente.
2. Passo 2: Header e payload appaiono come JSON pretty-print. Claim temporali (iat, exp, nbf) mostrano secondi Unix piu orologi UTC e locali. Firma e terzo segmento raw.
3. Passo 3: Passa a Encode per firmare token test. Header JSON precompilato con alg HS256. Modifica payload, opzionalmente tap chip NumericDate per iat o exp, poi inserisci segreto e firma.
4. Passo 4: Copia token, o invialo a tab Decode per ispezionare JSON compatto effettivamente firmato. Input malformato produce errore breve.

Il JWT Decoder si trova in Strumenti per sviluppatori. Apri la pagina dello strumento, inserisci l'input nel campo principale e i risultati si aggiornano subito. Usa il pulsante Copia per incollare l'output in documenti, editor di codice o fogli di calcolo.

Casi d'uso comuni

Debug token bearer API

Incolla un token da un header Authorization per vedere alg, typ, sub, exp e altri claim senza inviarlo a un debugger di terze parti.

Controllo claim scadenza e emissione

Leggi iat e exp nel payload quando una richiesta viene rifiutata come non autorizzata, poi conferma che la verifica reale avviene ancora sul server.

Imparare la struttura JWT

Vedi come header.payload.signature corrisponde a oggetti JSON e firma Base64URL, inclusi token non protetti con terzo segmento vuoto.

Creare token di test HS256

Usa la scheda Encode per firmare JWT HS256 compatti per Postman o API locali. I chip NumericDate impostano iat e exp senza cercare l'ora Unix, e Ispeziona in Decode conferma il JSON compatto firmato.

Esempi

• JWT standard tre parti: header.payload.signature decodifica in header JSON (alg, typ), payload JSON (claim come sub, iat, exp) e firma Base64URL.
• Header Authorization: Incolla Bearer eyJ... - lo strumento rimuove prefisso Bearer e decodifica token.
• JWT non sicuro (alg none): Token con terzo segmento vuoto decodifica comunque. Campo firma vuoto - Decode non verifica nulla.
• Token test HS256: Su Encode, mantieni header HS256, imposta claim payload, inserisci segreto solo dev e firma. Output e JWT compatto tre parti per Postman o Decode.

Consigli professionali

• La scheda Decode non verifica mai le firme. Chiunque può falsificare header e claim del payload.
• Non incollare secret di produzione o token di sessione live in decoder online che non controlli - questo resta nel browser, ma l'abitudine conta comunque.
• Un JWT valido ha esattamente tre parti. Un punto finale mancante su un token non protetto fallira.
• exp e iat sono timestamp Unix in secondi; questa pagina mostra orologi UTC e locali, e il Convertitore timestamp Unix è a un clic.
• Encode fissa alg su HS256 e serializza JSON in modo compatto. Spazi pretty-print in jwt.io cambiano la firma - questo encoder corrisponde all'output compatto stile jsonwebtoken.
• I secret HS256 dovrebbero essere almeno 32 byte UTF-8. Abbina al Generatore hash quando impari HMAC, non come sostituto della verifica lato server.

Domande frequenti

Cos'e un JWT?

JSON Web Token sono tre parti Base64URL separate da punti: header, payload di claim e firma. Le API usano JWT come bearer token. Decode legge le parti. Encode costruisce token firmato HS256 per test.

Il decoder verifica la firma?

No. Tab Decode non verifica mai. Verifica richiede segreto o chiave pubblica su server fidato. Decodificare mostra solo cosa afferma il token, falsificabile da chiunque.

Posso codificare o firmare JWT qui?

Si, tab Encode di questa pagina - nessun URL jwt-encoder separato. Firma JSON compatto con HMAC-SHA256 (HS256) nel browser. Usa segreto test usa-e-getta, mai chiave produzione.

Perche solo HS256 e non RS256?

HS256 e HMAC con segreto condiviso e gira in Web Crypto API senza caricare chiave privata. RSA ed ECDSA richiedono coppie chiave su server. Pagina fissa alg a HS256. Per digest HMAC hex grezzo, usa modalita HMAC su Generatore hash.

Token o segreto inviati a server?

No. Decode e Encode interamente nel browser. Nulla incollato viene caricato, registrato o salvato.

Perche vedo errore?

JWT valido ha esattamente tre parti. Header e payload devono essere JSON Base64URL. Punti extra, parti mancanti o encoding corrotto producono errore chiaro. Encode rifiuta anche JSON header/payload invalido e segreto vuoto.

Posso fidarmi di claim exp, sub o role da questo strumento?

Non da soli. Chiunque puo creare token con claim qualsiasi. Usa Decode per debug token che hai gia, poi verifica firme nel backend.

Cos'e Base64URL?

Base64URL e Base64 con + e / sostituiti da - e _, e padding spesso omesso. Header e payload JWT usano questa codifica per token URL-safe.

Come converto timestamp Unix exp/iat JWT in data?

In payload JWT, iat e issued-at Unix time e exp e expires-at Unix time. Questa pagina mostra gia orologi UTC e locali. Puoi anche copiare numeri nel Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Strumenti correlati che potrebbero servirti

Esplora altri strumenti per sviluppatori su ToolsMinify. Le utilità correlate sono collegate nella pagina di JWT Decoder per aiutarti a completare il flusso di lavoro senza lasciare il sito.