JWT-Inspektor - Ispettore JWT

I JSON Web Token sono ovunque ci sia un accesso moderno: token di accesso OAuth2, cookie di sessione, chiavi API, single sign-on. Sembrano un'insalata di caratteri incomprensibile, ma in realtà sono solo tre parti codificate in Base64, separate da punti. Il JWT-Inspektor le rende leggibili e risponde alle domande che ti fai davvero quando fai debug: che cosa c'è dentro, per chi è e quando scade?

Incolli il tuo token (un eventuale prefisso Bearer viene tolto in automatico) e vedi subito tre pannelli ben separati. L'header rivela l'algoritmo di firma e, se c'è, l'ID della chiave. Il payload mostra tutti i claim, e quelli standard come iss, sub, aud, exp, nbf, iat e jti vengono spiegati in chiaro, così non devi cercare che cosa significa ogni abbreviazione. La firma compare come blocco a sé.

L'aiuto più utile nella pratica è la visualizzazione della scadenza. Invece di convertire a mente un timestamp Unix, ottieni un banner di stato chiaro (valido, scade a breve o scaduto) con un conto alla rovescia che scorre in diretta. Anche un token senza claim exp viene segnalato, perché un token che non scade mai è raramente una buona idea. Una linea del tempo mostra emissione, inizio di validità e scadenza in rapporto tra loro.

Per i token firmati con HMAC (HS256, HS384, HS512) puoi controllare subito se la firma è giusta: inserisci il secret e l'ispettore ricalcola la firma con la Web Crypto API del tuo browser, mostrando con un badge verde o rosso se è valida. Per i metodi asimmetrici come RS256 o ES256 l'ispettore mostra l'algoritmo e una valutazione della sua sicurezza; la verifica crittografica di queste firme con chiave pubblica non rientra tra i compiti di questo strumento.

Oltre all'ispettore vero e proprio ci sono altre due modalità. Il token builder costruisce un nuovo token firmato HS partendo da un header, un payload e un secret: comodo per i test. La modalità di confronto mette due token uno accanto all'altro e segna claim per claim che cosa è uguale, che cosa cambia e che cosa c'è in uno solo dei due. Oro puro quando un accesso a volte funziona e a volte no.

Un avviso sulla dimensione si fa sentire quando il token si avvicina ai limiti abituali degli header HTTP, perché alcuni server e proxy rifiutano in silenzio i token troppo carichi. Token di esempio già pronti, dallo standard HS256 a uno scaduto fino a uno scenario con un ufficio tedesco, aiutano a provare e a imparare.

Tutto gira al 100% sul lato client. Il tuo token, il tuo secret, i tuoi claim: niente di tutto questo viene inviato a un server o salvato. Con le credenziali non è solo veloce, è l'unico modo ragionevole di lavorare. Nessun account, nessuna registrazione, nessuna fuga di dati.