Leggi JWT
Incolla un token e vedi cosa contiene. Non ne verifichiamo la firma, e non lo faremo mai: per farlo servirebbe la tua chiave segreta, e questo non è un posto dove incollarla.
Il testo resta sul tuo dispositivo: nessun upload
Risultato
Incolla qualcosa qui accanto: il risultato compare mentre scrivi.
Come funziona
I primi due pezzi di un token sono semplice testo codificato: chiunque li può leggere, senza chiavi. Non è un difetto — un token non serve a nascondere quello che contiene, ma a impedire che venga modificato. La firma qui non viene verificata: servirebbe la chiave segreta del server, e un sito non è il posto dove incollarla. Quindi quello che leggi dice cosa qualcuno ha scritto nel token, non che sia vero. Le date te le convertiamo, e ti diciamo se è scaduto o se non è ancora valido.
Domande frequenti
- Posso incollare l’intestazione «Authorization» così com’è?
- Quasi: il prefisso «Bearer» davanti al token si toglie da solo. Il resto no, quindi cancella «Authorization:» ed eventuali virgolette. Se leggi che una parte non è in Base64, di solito è rimasto attaccato del testo in più; se mancano le tre parti, probabilmente il token si è troncato mentre lo copiavi.
- In che fuso sono le date, e come decide se è scaduto?
- iat, nbf, exp, auth_time e updated_at diventano date in UTC, con la Z finale. Scadenza (exp) e inizio di validità (nbf) si confrontano con l’orologio del tuo dispositivo: se è avanti o indietro, sbaglia anche il verdetto. Se una di queste date non è scritta come numero di secondi, come vuole lo standard, te lo diciamo invece di ignorarla. Per leggere una data nella tua ora, incollala in «Converti timestamp».
- Il mio token ha cinque parti: perché non si legge?
- Un token in cinque parti è cifrato, non solo firmato: il contenuto è nascosto e si legge soltanto con la chiave giusta. Qui si leggono i token firmati, quelli in tre parti. Per sapere cosa contiene un token cifrato serve il servizio che lo ha creato.
- Cosa significa «alg: none»?
- Che il token non è firmato: la terza parte è vuota, e chiunque può averlo scritto o modificato. Qui lo leggi come gli altri, e l’algoritmo dichiarato compare sotto il risultato. Un servizio che accetta token così senza obiezioni prende per buono qualsiasi contenuto: è una configurazione da correggere.
Quello che incolli non viene caricato. Da nessuna parte.
Il testo che scrivi resta nella memoria del tuo browser: nessuna richiesta parte mentre scrivi. Puoi incollare anche qualcosa di riservato.
- Elaborazione localeTutto avviene in questa pagina.
- Niente da caricare, niente da aspettareNiente da caricare, nessuna attesa.
- Niente da cancellareNon conserviamo nulla: non ci arriva nulla.