JSON Web Token sono tre parti Base64URL separate da punti: header, payload di claim e firma. Le API usano JWT come bearer token. Decode legge le parti. Encode costruisce token firmato HS256 per test.

Il decoder verifica la firma?

No. Tab Decode non verifica mai. Verifica richiede segreto o chiave pubblica su server fidato. Decodificare mostra solo cosa afferma il token, falsificabile da chiunque.

Posso codificare o firmare JWT qui?

Si, tab Encode di questa pagina - nessun URL jwt-encoder separato. Firma JSON compatto con HMAC-SHA256 (HS256) nel browser. Usa segreto test usa-e-getta, mai chiave produzione.

Perche solo HS256 e non RS256?

HS256 e HMAC con segreto condiviso e gira in Web Crypto API senza caricare chiave privata. RSA ed ECDSA richiedono coppie chiave su server. Pagina fissa alg a HS256. Per digest HMAC hex grezzo, usa modalita HMAC su Generatore hash.

Token o segreto inviati a server?

No. Decode e Encode interamente nel browser. Nulla incollato viene caricato, registrato o salvato.

JWT valido ha esattamente tre parti. Header e payload devono essere JSON Base64URL. Punti extra, parti mancanti o encoding corrotto producono errore chiaro. Encode rifiuta anche JSON header/payload invalido e segreto vuoto.

Posso fidarmi di claim exp, sub o role da questo strumento?

Non da soli. Chiunque puo creare token con claim qualsiasi. Usa Decode per debug token che hai gia, poi verifica firme nel backend.

Base64URL e Base64 con + e / sostituiti da - e _, e padding spesso omesso. Header e payload JWT usano questa codifica per token URL-safe.

Come converto timestamp Unix exp/iat JWT in data?

In payload JWT, iat e issued-at Unix time e exp e expires-at Unix time. Questa pagina mostra gia orologi UTC e locali. Puoi anche copiare numeri nel Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Strumenti per sviluppatori

JWT Decoder

Incolla JSON Web Token per ispezionare header, payload e firma.

Modalita

Solo HS256

JSON Web Token

Solo decodifica - questa vista non verifica la firma. Non fidarti dei claim finche un server non verifica il token.

Informazioni su JWT Decoder

Incolla JSON Web Token per ispezionare header, payload e firma. Questo JWT decoder gratuito divide il token sui punti, decodifica Base64URL le prime due parti e pretty-print JSON. Decode non verifica la firma - tratta claim come non fidati finche un server non li controlla. Tab Encode firma token HS256 compatto nel browser con Web Crypto; il segreto non lascia la pagina. RSA non offerto. Tutto lato client.

Come usare JWT Decoder

Decode e tab default. Incolla JWT. Prefisso Bearer opzionale e rimosso automaticamente.
Header e payload appaiono come JSON pretty-print. Claim temporali (iat, exp, nbf) mostrano secondi Unix piu orologi UTC e locali. Firma e terzo segmento raw.
Passa a Encode per firmare token test. Header JSON precompilato con alg HS256. Modifica payload, opzionalmente tap chip NumericDate per iat o exp, poi inserisci segreto e firma.
Copia token, o invialo a tab Decode per ispezionare JSON compatto effettivamente firmato. Input malformato produce errore breve.

Esempi di JWT Decoder

JWT standard tre parti

header.payload.signature decodifica in header JSON (alg, typ), payload JSON (claim come sub, iat, exp) e firma Base64URL.

Header Authorization

Incolla Bearer eyJ... - lo strumento rimuove prefisso Bearer e decodifica token.

JWT non sicuro (alg none)

Token con terzo segmento vuoto decodifica comunque. Campo firma vuoto - Decode non verifica nulla.

Token test HS256

Su Encode, mantieni header HS256, imposta claim payload, inserisci segreto solo dev e firma. Output e JWT compatto tre parti per Postman o Decode.

Cosa c'e dentro un JWT

Leggi la guida completa

Come utilizzare JWT Decoder: guida completa (2026) - 5 min di lettura

Domande frequenti su JWT Decoder

Cos'e un JWT?: JSON Web Token sono tre parti Base64URL separate da punti: header, payload di claim e firma. Le API usano JWT come bearer token. Decode legge le parti. Encode costruisce token firmato HS256 per test.
Il decoder verifica la firma?: No. Tab Decode non verifica mai. Verifica richiede segreto o chiave pubblica su server fidato. Decodificare mostra solo cosa afferma il token, falsificabile da chiunque.
Posso codificare o firmare JWT qui?: Si, tab Encode di questa pagina - nessun URL jwt-encoder separato. Firma JSON compatto con HMAC-SHA256 (HS256) nel browser. Usa segreto test usa-e-getta, mai chiave produzione.
Perche solo HS256 e non RS256?: HS256 e HMAC con segreto condiviso e gira in Web Crypto API senza caricare chiave privata. RSA ed ECDSA richiedono coppie chiave su server. Pagina fissa alg a HS256. Per digest HMAC hex grezzo, usa modalita HMAC su Generatore hash.
Token o segreto inviati a server?: No. Decode e Encode interamente nel browser. Nulla incollato viene caricato, registrato o salvato.
Perche vedo errore?: JWT valido ha esattamente tre parti. Header e payload devono essere JSON Base64URL. Punti extra, parti mancanti o encoding corrotto producono errore chiaro. Encode rifiuta anche JSON header/payload invalido e segreto vuoto.
Posso fidarmi di claim exp, sub o role da questo strumento?: Non da soli. Chiunque puo creare token con claim qualsiasi. Usa Decode per debug token che hai gia, poi verifica firme nel backend.
Cos'e Base64URL?: Base64URL e Base64 con + e / sostituiti da - e _, e padding spesso omesso. Header e payload JWT usano questa codifica per token URL-safe.
Come converto timestamp Unix exp/iat JWT in data?: In payload JWT, iat e issued-at Unix time e exp e expires-at Unix time. Questa pagina mostra gia orologi UTC e locali. Puoi anche copiare numeri nel Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Generatore hash

Genera hash SHA-256, SHA-1, SHA-384 e SHA-512 da qualsiasi testo. HMAC sulla stessa pagina. Digest hex minuscolo all'istante nel browser - nulla viene caricato.

Convertitore Unix Timestamp

Converti Unix timestamp (secondi o millisecondi) in ISO 8601, UTC e data/ora locale. Converti date locali in secondi e millisecondi Unix. Nel browser.

Codificatore / decodificatore Base64

Codificatore e decodificatore Base64 online gratuito. Codifica testo in Base64 o decodifica Base64 in testo semplice, con Unicode (UTF-8) completo - interamente nel browser.