Decoder JWT e controllo di sicurezza

Come funziona

Un JSON Web Token firmato ha tre parti separate da punti: un header, un payload di claim e una firma. Le prime due sono solo codificate in Base64url, quindi chiunque possieda il token può leggerle. Questo strumento le decodifica sul suo dispositivo, mostra i claim temporali come date e verifica le impostazioni che più spesso causano problemi di sicurezza. Prova inoltre un breve elenco di segreti tratti da tutorial e configurazioni predefinite, perché i token firmati con questi segreti possono essere falsificati da chiunque.

Come leggere il risultato

I problemi vanno corretti: un token non firmato, l’assenza di scadenza o un segreto noto. Gli avvisi dipendono dal contesto; un destinatario (aud) mancante è innocuo se un solo servizio accetta il token. Decodificare non significa verificare. Solo un controllo della firma con la chiave giusta dimostra che un token è autentico e integro, e il server deve inoltre fissare l’algoritmo che accetta invece di fidarsi dell’header.

Limiti

Lo strumento verifica le firme HS256, HS384 e HS512 con un segreto inserito da lei. Non può verificare firme RS, PS, ES o EdDSA e non può leggere i token cifrati (JWE), che hanno cinque parti.

Domande frequenti

Il mio token viene inviato da qualche parte?

No. Decodifica, controlli e verifica della firma avvengono tutti nel suo browser. Detto questo, tratti i token reali come password e li incolli solo in strumenti di cui si fida.

Perché alg none è pericoloso?

Il token non ha firma, quindi chiunque può modificarne i claim. In passato alcune librerie lo accettavano quando il server non imponeva un algoritmo specifico.

Per quanto tempo dovrebbe essere valido un JWT?

Il meno possibile, compatibilmente con l’uso. Gli access token scadono in genere entro 5-60 minuti; le sessioni più lunghe usano refresh token che il server può revocare.

Posso verificare qui i token RS256?

No. Serve la chiave pubblica dell’emittente, di solito pubblicata nel suo endpoint JWKS. Verifichi questi token nella sua libreria JWT con una chiave e un algoritmo fissi.