Decodificatore JWT

Che cos'è un JWT

Un JSON Web Token è composto da tre parti separate da punti: intestazione, payload e firma. Le prime due sono JSON codificato in Base64 con l'alfabeto sicuro negli URL — leggibili da chiunque, non cifrate. La terza è la firma, che permette a chi possiede la chiave di verificare che le prime due non siano state alterate.

Il payload non è segreto

È il fraintendimento più comune. Un JWT non nasconde nulla: chiunque lo intercetti può leggerne il contenuto senza alcuna chiave, esattamente come fa questo strumento. Nel payload non vanno quindi messi dati riservati, ma solo ciò che si è disposti a mostrare a chi porta il token.

Le date, che sono il motivo per cui si finisce qui

Le rivendicazioni exp, iat e nbf sono secondi trascorsi dal primo gennaio 1970: illeggibili a occhio, e sono proprio quelle che si va a controllare quando un token "ha smesso di funzionare". Qui vengono mostrate anche in forma leggibile, con l'indicazione di quanto manca alla scadenza o da quanto è passata.

Perché la firma non viene verificata

Verificarla richiederebbe la chiave, cioè il segreto che non deve circolare: incollarlo in uno strumento online vanificherebbe la sicurezza dell'intero sistema. Un token decodificato senza verifica dice quindi cosa dichiara, non se quelle dichiarazioni siano autentiche. Per la verifica si usa una libreria nel proprio codice, dove la chiave già si trova.