È sicuro incollare qui il mio JWT?

Decodifica e verifica avvengono solo nel tuo browser e nulla viene inviato al nostro server. Tratta comunque i token di produzione come password: chi possiede un token valido può usarlo fino alla scadenza.

No. Un JWT standard (JWS) è solo codificato in Base64URL e firmato, quindi chiunque può leggere il payload. Non inserire mai password o segreti. La firma dimostra solo che il token non è stato modificato.

Perché non posso verificare token RS256 o ES256?

Questi algoritmi si verificano con la chiave pubblica dell'emittente, non con un segreto condiviso. Questo strumento verifica gli algoritmi HMAC (HS256, HS384, HS512) con il segreto che inserisci.

Cosa significano exp, iat e nbf?

Sono timestamp Unix in secondi: exp è la scadenza, iat il momento di emissione e nbf l'istante prima del quale il token non va accettato.

Decoder JWT – decodifica e verifica JSON Web Token online

Come decodificare un JWT

Incolla il token (tre parti Base64URL separate da punti) nel riquadro.
Leggi header e payload decodificati. Gli orari sono mostrati come date nel tuo fuso orario.
Controlla lo stato: scaduto, valido o non ancora valido.
Per HS256/HS384/HS512 inserisci il segreto e fai clic su Verifica.

Struttura di un JWT e claim standard

Parte / claim	Significato	Esempio
Header	Algoritmo e tipo di token	{"alg":"HS256","typ":"JWT"}
Payload	Informazioni (claim) su utente e token	{"sub":"123","exp":1767225600}
Firma	Dimostra che header e payload non sono stati modificati	HMACSHA256(header.payload, secret)
iss / sub / aud	Emittente / soggetto (utente) / destinatario	"https://auth.example.com"
exp / iat / nbf	Scadenza / emissione / valido da (secondi Unix)	1767225600

Domande frequenti

Q. È sicuro incollare qui il mio JWT?: Decodifica e verifica avvengono solo nel tuo browser e nulla viene inviato al nostro server. Tratta comunque i token di produzione come password: chi possiede un token valido può usarlo fino alla scadenza.
Q. Un JWT è cifrato?: No. Un JWT standard (JWS) è solo codificato in Base64URL e firmato, quindi chiunque può leggere il payload. Non inserire mai password o segreti. La firma dimostra solo che il token non è stato modificato.
Q. Perché non posso verificare token RS256 o ES256?: Questi algoritmi si verificano con la chiave pubblica dell'emittente, non con un segreto condiviso. Questo strumento verifica gli algoritmi HMAC (HS256, HS384, HS512) con il segreto che inserisci.
Q. Cosa significano exp, iat e nbf?: Sono timestamp Unix in secondi: exp è la scadenza, iat il momento di emissione e nbf l'istante prima del quale il token non va accettato.

Strumenti correlati

Ultimo aggiornamento: 14 novembre 2026