Come funziona
Un JSON Web Token ha tre parti Base64URL separate da punti: header, payload e firma. La decodifica legge solo le prime due, quindi funziona offline e non dimostra mai chi ha emesso il token. Solo un controllo della firma con la chiave dell'emittente dimostra l'autenticità, e un token scaduto va rifiutato anche con firma valida.
header.payload.signature → JSON + date + controllo della firma
Quale chiave usare
- HS256 / HS384 / HS512: incolla il testo del segreto condiviso. Chiunque lo abbia può sia firmare che verificare.
- RS256–RS512 / PS256–PS512: incolla la chiave pubblica come PEM (SPKI) o JWK. La chiave privata resta all'emittente.
- ES256 / ES384 / ES512: incolla la chiave pubblica EC come PEM o JWK; la firma grezza R‖S dentro il token viene convertita automaticamente.
- EdDSA: incolla la chiave pubblica da 32 byte come Base64URL o hex.
- none: nessuna firma. Questi token non devono mai essere considerati affidabili.
Consigli
- exp, iat e nbf sono mostrati come date, con indicazione se ognuna è già passata.
- Incollare qui un token di accesso vero è sicuro dal punto di vista della rete, ma chiunque abbia il token può usarlo — preferisci token di prova brevi.
- Tutto gira nel tuo browser; non viene caricato nulla.
Standard e fonti
- JSON Web Token (JWT): RFC 7519; firme JWS: RFC 7515
- Algoritmi (HS/RS/PS/ES): RFC 7518; EdDSA: RFC 8032
- Base64URL: RFC 4648
Ultima revisione 12 ottobre 2026
Domande frequenti
Cosa dimostra la decodifica?
Nulla sull'autenticità. La decodifica legge solo header e payload, che chiunque può falsificare. Solo un controllo della firma con la chiave dell'emittente dimostra che il token è autentico.
Quali algoritmi si possono verificare?
HMAC (HS256/384/512) con il segreto condiviso, RSA (RS/PS) ed ECDSA (ES256/384/512) con chiave pubblica PEM o JWK, ed EdDSA (Ed25519) con la chiave pubblica grezza. I token con alg none non hanno firma e non devono mai essere considerati affidabili.
Perché il server rifiuta il mio token valido?
Le cause più comuni sono un claim exp scaduto, un audience o un issuer sbagliato, oppure un orologio non sincronizzato tra firmatario e server. Questa pagina mostra ogni claim di data così puoi capire quale fallisce.
È sicuro incollare qui un token vero?
La pagina funziona tutta offline e non invia nulla da nessuna parte, ma chiunque abbia il token può usarlo finché scade. Preferisci token di prova a breve scadenza rispetto ai token di accesso di produzione.