Flusso di lavoro di decodifica JWT: ispeziona i token in modo sicuro

Guida passo passo per decodificare e convalidare l'intestazione JWT e il payload localmente senza inviare token a un server.

I token Web JSON contengono rivendicazioni firmate per API e SSO. Prima di fidarsi di un token, gli sviluppatori decodificano l'intestazione e il payload, controllano le dichiarazioni exp/iss/aud e verificano le firme con la chiave giusta.

Questa guida utilizza Tentaco JWT Decoder in Security Studio: tutta l'analisi rimane nel tuo browser. Non incollare mai i token di produzione in siti non attendibili.

Passaggi

Apri JWT Decoder da Security Studio o /use/jwt-decoder.
Incolla il JWT (tre segmenti Base64url separati da punti).
Esamina l'intestazione decodificata (alg, typ) e le attestazioni del payload (sub, exp, iss).
Controlla la scadenza rispetto all'ora corrente: rifiuta i token scaduti.
Verifica la firma localmente se disponi della chiave segreta o pubblica: non fidarti delle affermazioni senza verifica.

Apri nello studio

Studio di sicurezza

Guide correlate

Decodificatore JWT: esamina le richieste dei token