Decoder JWT

Cos'è un JWT decoder?

Un JWT decoder divide un JSON Web Token nelle sue tre parti, header, payload e firma, e decodifica in Base64URL le prime due così puoi leggerle come JSON. Gli sviluppatori lo usano di continuo per fare debug di flussi di login, autorizzazioni, claim di sessione e problemi di scadenza dei token.

Decodificare un JWT *non* significa potersene fidare. Header e payload sono leggibili per progettazione: sono solo codificati in Base64URL, non cifrati. È la verifica a controllare se il token è stato firmato da chi ti aspetti e non è stato manomesso.

Un JWT ha la forma header.payload.signature. Ogni parte è codificata in Base64URL e separata da punti. L'header dice quale algoritmo di firma viene usato, il payload contiene i claim (chi è l'utente, quando scade il token, cosa può fare) e la firma permette al server di dimostrare che il token non è stato modificato.

Cosa imparerai decodificando i JWT

• Un JWT ha tre parti codificate in Base64URL separate da punti: header.payload.signature.
• I claim comuni come sub, role, iat, nbf ed exp descrivono identità, permessi, data di emissione e data di scadenza.
• Un payload decodificato può essere modificato da chiunque: solo la firma permette a un server di rilevare la manomissione.
• Gli algoritmi sono diversi: HS256 usa un segreto condiviso; RS256 ed ES256 usano coppie di chiavi pubblica/privata. Il campo alg dell'header ti dice quale è stato usato.

Come decodificare un JWT passo dopo passo

1. 1

   Incolla il token completo

   Incolla il JWT nella casella di input. Dovrebbe avere la forma xxxx.yyyy.zzzz: tre parti codificate in Base64URL unite da punti.

2. 2

   Leggi l'header

   L'header indica l'algoritmo di firma (alg) e il tipo di token. Attenzione a "alg": "none": significa che il token non è firmato e non ci si può fidare.

3. 3

   Leggi i claim del payload

   Il payload è il JSON con tutti i claim. Cerca sub (id utente), exp (scadenza), iat (emesso il) e gli eventuali claim personalizzati che la tua app aggiunge, come role o tenant.

4. 4

   Controlla la scadenza

   Converti il timestamp Unix di exp in una data: se è nel passato, il token è scaduto e qualsiasi API fatta bene lo rifiuterà.

5. 5

   Verifica la firma (facoltativo)

   Se hai il segreto o la chiave pubblica, incollali nel verificatore per confermare che la firma sia valida. Il contenuto del token è affidabile solo se la firma è corretta.

Claim JWT standard

Questi sono i claim registrati definiti dalla specifica JWT (RFC 7519). Qualsiasi applicazione può aggiungere i propri claim personalizzati accanto a questi.

Esempi di JWT da provare

{  "alg": "HS256",  "typ": "JWT"}

{  "sub": "user_123",  "role": "student",  "exp": 1710000000}

{  "exp": 1710000000}

{  "alg": "none",  "typ": "JWT"}

Errori comuni con i JWT

• Mettere password, segreti o dati personali sensibili nel payload. I JWT sono leggibili, non cifrati.
• Decodificare un token e dare per scontato che sia valido senza controllare la firma.
• Confondere la leggibilità del Base64URL con la cifratura: i payload JWT sono facili da leggere di proposito.
• Salvare i JWT in localStorage senza considerare l'impatto di un attacco XSS, e poi dargli scadenze lunghissime.
• Non validare il claim aud (destinatario): un token emesso per un servizio può essere riutilizzato contro un altro se chi lo riceve non lo controlla.

Domande frequenti sui JWT