Decodificatore JWT
Incolla un JWT (JSON Web Token) per vedere istantaneamente il suo header e payload decodificati come JSON formattato, con le claim numeriche exp/iat/nbf convertite in timestamp leggibili. È uno strumento solo di decodifica: non verifica mai la firma, quindi è sicuro da usare per ispezionare il contenuto di un token senza alcun segreto o chiave, e il token non lascia mai il tuo browser.
Verificato da Vincenzo Manto, Fondatore e Lead Developer · Ultimo aggiornamento 27 settembre 2026
Come funziona
- 1
Incolla il tuo JWT (i tre segmenti base64url separati da punti) nel campo di input.
- 2
Header e payload vengono decodificati e formattati automaticamente come JSON.
- 3
Le eventuali claim numeriche exp, iat o nbf vengono mostrate insieme alla data leggibile corrispondente.
- 4
Copia l'header o il payload decodificato con un clic. La firma viene mostrata ma mai validata.
Cosa contiene davvero un JWT
Un JSON Web Token è composto da tre segmenti codificati in base64url uniti da punti: un header che descrive l'algoritmo di firma e il tipo di token, un payload che contiene le claim (come id utente, ruoli o scadenza) e una firma che dimostra che i primi due segmenti non sono stati manomessi. Header e payload non sono cifrati, solo codificati: chiunque può leggerli, ed è esattamente ciò che questo strumento ti permette di fare rapidamente senza scrivere uno script.
Solo decodifica, per progettazione
Molta confusione sui JWT nasce dal confondere 'posso leggere questo token' con 'questo token è valido'. Questo strumento traccia deliberatamente quella linea: mostra esattamente cosa c'è dentro l'header e il payload di un token per il debug, senza mai chiedere una chiave segreta o pretendere di validare nulla. Se devi verificare una firma, quello deve avvenire nel tuo codice backend dove risiede davvero la chiave di firma.
Non un generico strumento Base64, apposta
Un decodificatore Base64 generico decodifica volentieri un segmento del JWT alla volta, ma dovresti dividere il token da solo, indovinare quale parte è quale e convertire i timestamp Unix a mano. Questo strumento fa tutte e tre le cose automaticamente perché è costruito attorno alla struttura specifica a tre parti del JWT, non su testo generico.
Domande frequenti
Questo strumento verifica la firma del JWT?
No, e non lo farà mai. Verificare una firma richiede il segreto di firma o la chiave pubblica, che questo strumento non chiede mai intenzionalmente. Decodifica e mostra solo header e payload: trattalo come un visualizzatore JSON per token, non come un controllo di sicurezza.
Il mio token viene inviato a un server?
No. Dividere il token e decodificare in base64url header e payload avviene interamente in locale nel tuo browser con JavaScript puro. Nulla viene mai trasmesso altrove, il che rende sicuro incollare token reali durante il debug.
Cosa fa con exp, iat e nbf?
I JWT esprimono queste claim temporali standard come 'NumericDate', cioè secondi dall'epoca Unix. Questo strumento converte ognuna di quelle trovate in una data ISO 8601 leggibile, così non devi fare i calcoli manualmente.
Cosa succede se il mio token non è valido o è malformato?
Lo strumento controlla che il token abbia esattamente tre parti separate da punti e che i segmenti di header e payload siano JSON valido codificato in base64url, mostrando un messaggio di errore chiaro se qualcosa non si decodifica correttamente.
Posso decodificare token firmati con qualsiasi algoritmo (HS256, RS256, ES256, ecc.)?
Sì, l'algoritmo di firma influisce solo sulla firma, che questo strumento non tocca. Header e payload sono solo JSON codificato in base64url indipendentemente dall'algoritmo, quindi la decodifica funziona allo stesso modo per tutti.