A cosa fare attenzione
- exp / nbf / iat: tempi in secondi dal 1970. Un orologio del server sbagliato rende “scaduti” token validi.
- iss e aud devono coincidere esattamente con ciò che l'applicazione si aspetta — maiuscole e barra finale comprese.
- alg: none non va mai accettato.
- Decodificare non è verificare: la firma la può controllare solo chi ha la chiave dell'emittente.
Privacy
Gira interamente nel tuo browser; non viene inviato né salvato nulla.