Decoder JWT gratuitoDecodifica, verifica e firma JSON Web Token.

Incolla un token per vederne header e claim, con scadenza e data di emissione come date reali.
Verifica la firma con un secret o una chiave pubblica, oppure firma un nuovo token per i test.

I token restano nel browserVerifica della firmaScadenza leggibile

Senza registrazione Senza upload Nessun limite

Token e chiavi non lasciano mai il browser.

Token

Oppure prova un esempio

Decodificato

Header, payload e claim appaiono qui.

Token e chiavi restano sul tuo dispositivo.

TRE SEMPLICI PASSAGGI

Come decodificare un JWT

Incolla il token

Incolla un JWT, con o senza “Bearer”. Header e payload vengono decodificati subito.

Leggi i claim

Scopri chi l'ha emesso, per chi e quando scade, come date nel tuo fuso orario con “tra 2 ore” o “3 giorni fa”.

Verifica la firma

Inserisci il secret o incolla la chiave pubblica, il certificato o il JWKS per controllare che il token non sia stato modificato.

WaveSpeed AI

Stai sviluppando qualcosa con un'API?

Genera immagini, video e modelli 3D dal tuo codice con WaveSpeed AI.

Inizia a creare Esplora oltre 1.000 modelli AI

Oltre 1.000 modelli AI
Immagini, video e 3D
Paghi a consumo

$1 in crediti gratuiti per i nuovi account idonei. Nessuna carta richiesta. I generatori hanno requisiti separati di account e crediti. Questo strumento è gratuito: decoder JWT.

Domande frequenti sul decoder JWT

È sicuro incollare qui un token reale?

Token, secret e chiavi vengono elaborati nel browser con la sua crittografia integrata e non vengono mai inviati. Tuttavia un token attivo funziona come una password finché non scade, quindi preferisci token di test e non condividerne mai uno in chat o ticket.

Quali algoritmi può verificare?

HS256, HS384 e HS512 con un secret condiviso; RS256/384/512 e PS256/384/512 con una chiave pubblica RSA; ES256, ES384 ed ES512 con una chiave pubblica EC; ed EdDSA (Ed25519) nei browser che lo supportano. Le chiavi possono essere una chiave pubblica PEM, un certificato X.509, un JWK o un JWKS (scelta in base al kid del token).

La decodifica dimostra che un token è autentico?

No. Chiunque può leggere un JWT, perché header e payload sono solo codificati, non cifrati. Solo una firma valida dimostra che è stato emesso da chi possiede la chiave e che non è stato modificato.

Cos'è alg “none”?

Un token non firmato. I server non devono mai accettarlo, e questo strumento non lo segnala mai come verificato.

Perché la scadenza mostra una data molto lontana nel futuro?

exp, iat e nbf devono essere secondi dal 1970. Un valore in millisecondi è 1.000 volte troppo grande; il decoder ti avvisa quando ne trova uno.

Posso creare token?

Sì. Passa a Codifica, modifica header e payload e firma con un secret (HS256/384/512) o una chiave privata in formato PEM o JWK. I pulsanti rapidi impostano iat ed exp.

Sono supportati i token cifrati (JWE)?

No. Un JWE ha cinque parti e per leggerlo serve la chiave privata del destinatario; questo strumento decodifica e verifica i token firmati (JWS).

Tutti gli strumenti gratuiti