Come decodificare un JWT
- Incolla il token (l'eventuale prefisso
Bearerviene rimosso automaticamente). - Leggi header e payload decodificati in JSON formattato e controlla nella tabella dei claim le date di scadenza e di emissione.
- Se vuoi, apri Verifica la firma e inserisci il segreto HMAC o la chiave pubblica in formato PEM.
Com'è fatto un JWT
Un JSON Web Token è composto da tre parti codificate in Base64URL e separate da punti: header.payload.signature. L'header indica l'algoritmo di firma (ad esempio HS256 o RS256), il payload contiene i claim e la firma dimostra che le prime due parti non sono state modificate.
Claim registrati
iss– chi ha emesso il tokensub– l'utente o soggettoaud– i destinatari previstiexp,nbf,iat– data di scadenza, di inizio validità e di emissione come timestamp Unixjti– un ID univoco del token
Domande frequenti
È sicuro incollare qui il mio token?
Il token viene decodificato nel tuo browser e non viene mai inviato altrove. In ogni caso, tratta i token attivi come password ed evita di condividerli.
Chiunque può leggere il payload di un JWT?
Sì. Un JWT firmato è solo codificato in Base64URL, non cifrato, quindi non inserire mai segreti nel payload. Solo i token cifrati (JWE) nascondono il loro contenuto.
Perché la firma non viene verificata automaticamente?
La verifica richiede il segreto o la chiave pubblica dell'emittente, da inserire in Verifica la firma. Sono supportati gli algoritmi HS, RS, PS ed ES.