Decodificatore JWT
Domande Frequenti
Tutto quello che devi sapere sui JSON Web Token
Cos'e un JSON Web Token (JWT)?
Un JWT e uno standard aperto (RFC 7519) per trasmettere informazioni in modo compatto e sicuro tra le parti sotto forma di oggetto JSON. E composto da tre parti separate da punti: header, payload e firma, ciascuna codificata in base64url. Viene usato principalmente per l'autenticazione e lo scambio di informazioni.
Questo strumento verifica la firma del token?
No. Lo strumento decodifica solo header e payload per mostrarne il contenuto in chiaro. Non verifica la firma crittografica, perche cio richiederebbe la chiave segreta o pubblica. La decodifica avviene interamente nel browser: nessun token viene inviato a un server.
Il contenuto di un JWT e sicuro/segreto?
No, il payload di un JWT standard e solo codificato in base64url, non cifrato: chiunque puo leggerlo. Non inserire mai dati sensibili nel payload. La firma garantisce solo che il token non sia stato alterato, non che il contenuto sia segreto. Per la riservatezza serve la cifratura (JWE).
Il decodificatore JWT verifica la firma del token?
No, il decodificatore JWT legge soltanto header e payload e non controlla la firma. Per stabilire se un token è autentico serve la chiave segreta, che resta sul server che lo ha emesso.
Come si capisce se un JWT è scaduto?
Se il payload contiene il campo exp, il valore viene convertito in data e ora leggibili e il token viene segnalato come scaduto o valido rispetto all'orologio del computer. Anche il campo iat compare come data.
Il token incollato viene inviato da qualche parte?
No, la decodifica avviene nel browser: il token viene diviso sui punti e le prime due parti in base64url vengono convertite in JSON in locale, senza chiamate verso un server.