What a JWT decoder shows

A JWT has three Base64url sections joined by dots: header, payload, and signature. A decoder reads the header and payload as JSON so you can inspect claims like sub, exp, and iat. The signature is not human-readable.

Does this verify the JWT signature?

No. Decoding a JWT shows what the token claims, but it does not prove the token is authentic. Always verify the signature against your secret or public key on the server before trusting any claim, and never store secrets in a JWT payload.

Decoder JWT online — Leggi i claim

token.jwt

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFkYSBMb3ZlbGFjZSIsImlhdCI6MTUxNjIzOTAyMn0.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

decoded.json

Incolla un JWT per decodificarne header e payload. La decodifica non verifica la firma.

Correlate

Guide per JWT Decode

Tutte le guide →

Guida

Privacy: strumenti JSON che non lasciano il tuo browser

Strumenti JSON, JWT e Base64 che elaborano ogni byte localmente nella scheda del tuo browser — nessun endpoint di caricamento, nessun log lato server dei payload incollati.

Guida

Come decodificare stringhe Base64 (e payload JWT)

Base64 è una codifica reversibile, non una cifratura. Decodificalo in un passaggio, gestisci correttamente Unicode e leggi le sezioni JWT che usano Base64url.

Guida

Valida il JSON prima delle richieste API

Una validazione rapida prima di inviare una richiesta API separa nettamente i problemi di sintassi JSON dagli errori di autenticazione, schema e backend.

Decodificare un JSON Web Token (JWT)

Un JWT è composto da tre segmenti codificati in Base64url e separati da punti : header.payload.signature. Incolla il token e clicca su Decode per leggere header e payload come JSON. Tutto avviene nel tuo browser —— il token non viene inviato a un server, cosa importante dato che i JWT spesso portano claim di identità e sessione.

Che tu cerchi decode jsonwebtoken (una parola), jwt decode o * json web token decoder* : il tool fa sempre la stessa cosa : divide sui punti, decodifica i primi due segmenti in Base64url e mostra il risultato come JSON.

Decodificare non è verificare

Chiunque può decodificare un JWT —— non serve nessuna chiave perché il payload è solo codificato, non cifrato. La decodifica indica soltanto cosa il token dichiara ; non dimostra che sia autentico. Verifica sempre la firma lato server con la tua chiave segreta o pubblica prima di fidarti di qualsiasi claim, e non inserire mai password o segreti nel payload di un JWT.

Claim comuni

iss emittente · sub soggetto · aud audience
exp scadenza · iat emesso il · nbf non prima di (timestamp Unix)

Per maggiori dettagli vedi Come decodificare un JWT e Perché Base64 non è crittografia. Per ispezionare manualmente i singoli segmenti, usa il decoder Base64.

FAQ

Questo tool verifica la firma del JWT?

No. La decodifica mostra solo ciò che il token dichiara ; non dimostra l’autenticità. Verifica sempre la firma lato server con la tua chiave segreta o pubblica prima di fidarti di qualsiasi claim, e non memorizzare mai informazioni sensibili nel payload di un JWT.