Da Base64 a JSON: decodificare cookie e sessioni in sicurezza

Hai una stringa lunga e illeggibile di lettere e numeri che dovrebbe contenere dati di cookie o di sessione, e ti serve una conversione da base64 a json per poterla leggere davvero. Magari te l'ha consegnata un venditore, un'estensione del browser o un pannello di importazione, e vuoi vedere i campi prima di passarla a un altro strumento.

Questa guida mostra come riconoscere una stringa Base64, decodificarla in JSON ben formattato con uno strumento gratuito, risolvere gli errori più comuni e ricodificare il JSON in Base64 quando un pannello richiede proprio quel formato. Spiega anche come tenere privati i dati decodificati, perché i valori di cookie e token sono sensibili.

Che cos'è Base64 e perché cookie e token vengono incapsulati così

Base64 scrive qualsiasi dato, compreso il testo con virgolette, parentesi graffe e lettere accentate, usando soltanto 64 caratteri sicuri: dalla A alla Z, dalla a alla z, dallo 0 al 9, più i simboli + e /. I sistemi che non gestiscono bene punteggiatura grezza o ritorni a capo riescono comunque a trasportare i dati, perché Base64 trasforma tutto in semplice testo, comodo da copiare.

Ecco perché nella pratica ti capita di incontrare una stringa cookie in base64. Uno strumento che esporta i dati di sessione in JSON può incapsularli in Base64 perché passino in una casella di testo, in un parametro dell'URL o in un messaggio in chat senza rompersi, e un pannello di importazione può aspettarsi lo stesso formato in ingresso.

Un punto importante: Base64 è una codifica, non una cifratura. Non c'è password né chiave, e chiunque abbia la stringa può riottenere il testo originale. Tratta quindi la stringa come se fosse il dato stesso.

Come riconoscere una stringa Base64

Prima di decodificare qualsiasi cosa, verifica che sia davvero Base64. Di solito bastano tre controlli rapidi.

L'insieme di caratteri

Una stringa Base64 standard contiene solo lettere, cifre, + e /. Se vedi due punti, spazi tra le parole o chiocciole, probabilmente è qualcos'altro. Le righe di consegna come username:password:email:email_password:auth_token sono testo separato da due punti, non Base64, e nessun decodificatore ne ricaverà qualcosa di sensato.

Il padding

Base64 lavora a gruppi di quattro caratteri. Quando i dati non riempiono l'ultimo gruppo, vengono aggiunti uno o due simboli di uguale come padding. Una stringa che termina con = o == è un indizio forte, ma le stringhe senza uguale sono valide quando la lunghezza combacia per caso, e alcuni strumenti eliminano il padding di proposito.

L'inizio rivelatore

Un oggetto JSON comincia con una graffa e delle virgolette, e questa coppia si codifica sempre allo stesso modo. Una stringa che inizia con eyJ è quasi sempre un oggetto JSON, W3si di solito indica un elenco di oggetti e WyJ un elenco di valori testuali. Se la tua stringa comincia così, decodificandola dovresti ottenere JSON.

Hai dei dubbi? Incolla un campione nello strumento per identificare il formato. Controlla alfabeto, padding e lunghezza e ti dice se il testo somiglia a Base64, a JSON o a qualcos'altro.

Da Base64 a JSON: decodifica con lo strumento gratuito

Lo strumento da Base64 a JSON fa tutto nel tuo browser e non carica nulla, quindi la stringa resta sul tuo dispositivo.

• Incolla la stringa Base64 nella casella di input. Se vuoi vedere com'è un risultato corretto, prova prima il pulsante dell'esempio.
• Il risultato compare subito. Se il testo decodificato è JSON valido, viene formattato con un'indentazione di due spazi, così i campi annidati si leggono facilmente.
• Leggi la struttura, poi usa il pulsante di copia per portare via il JSON.

Lo strumento elimina spazi e a capo prima di decodificare e legge i byte come UTF-8, quindi lettere accentate e alfabeti non latini escono corretti invece di diventare simboli confusi. Per provare, incolla eyJ1c2VyIjoiaGVzYXAxIiwidG9rZW4iOiJhYmMxMjMifQ== e otterrai un oggetto con un campo user e un campo token.

Se il testo decodificato è leggibile ma non è JSON, lo strumento lo mostra come testo semplice invece di scartare il risultato. Succede spesso con un token isolato ed è comunque una decodifica riuscita.

Correggere gli errori di decodifica: padding, a capo e variante URL-safe

Quando una decodifica fallisce, la causa è quasi sempre una di queste.

Padding mancante

La stringa è stata tagliata o ha perso i segni di uguale. Confronta eyJpZCI6MX0= con eyJpZCI6MTIzfQ==: la prima richiede un uguale, la seconda ne richiede due. Aggiungi = finché la lunghezza non è un multiplo di quattro. Fa eccezione la stringa che, divisa per quattro, lascia resto uno: nessun padding la sistema, perché durante la copia si sono persi dei caratteri e ti serve una copia nuova dell'originale.

A capo e spazi di troppo

Client di posta, app di chat e file di testo spesso spezzano le stringhe lunghe su più righe. Quelle interruzioni non fanno parte dei dati. Lo strumento le rimuove al posto tuo, ma altri decodificatori potrebbero non farlo.

La variante URL-safe

Le stringhe pensate per gli indirizzi web sostituiscono + con - e / con _ per sopravvivere dentro un link, e un decodificatore standard rifiuta questi due caratteri. Sostituisci ogni - con + e ogni _ con /, ripristina il padding e decodifica di nuovo.

Righe di account incollate per errore

Se hai incollato righe di dati di consegna separati da due punti, lo strumento segnalerà che somigliano a un elenco di account. Quel testo non ha bisogno di un decodificatore ma di un divisore di colonne. Usa dividi per delimitatore per estrarre i campi che ti servono.

Da JSON a Base64: riconvertire per gli strumenti che lo richiedono

Alcuni pannelli e strumenti di importazione vogliono i dati di sessione in Base64 invece che in JSON grezzo. Lo strumento da JSON a Base64 gestisce questa direzione. Incolla il JSON, scegli un output compatto su una sola riga oppure indentato e leggibile, e copia il risultato. La modalità compatta è la scelta migliore per la maggior parte delle importazioni perché dà la stringa più corta.

Lo strumento convalida prima il JSON, così una virgola mancante o una graffa non chiusa vengono rilevate prima di codificare un carico guasto. La codifica usa UTF-8, e questo rende affidabile il percorso di andata e ritorno: decodifichi una stringa, cambi un campo, la ricodifichi e tutti gli altri campi tornano esattamente com'erano.

Se i tuoi cookie sono in un file di testo in formato Netscape, convertili con lo strumento per cookie Netscape e segui la nostra guida su come convertire i cookie Netscape in JSON. Se invece lavori con un auth token, leggi come accedere a Twitter con un auth token.

Gestire i dati decodificati in modo riservato

I dati di cookie e sessione decodificati possono contenere token che funzionano come una chiave per un account, quindi conviene adottare qualche buona abitudine.

• Lavora in locale. Uno strumento nel browser che non carica il tuo input è preferibile a un sito qualsiasi che invia il testo a un server che non puoi controllare.
• Non incollare i valori decodificati in chat pubbliche, ticket o screenshot. Quando chiedi aiuto, condividi solo i nomi dei campi.
• Conserva intatta la stringa originale, decodifica una copia ed elimina i file di lavoro quando hai finito.

Per conversioni semplici e ripetibili come queste, di solito basta un convertitore locale. Il nostro approfondimento su quando basta un convertitore di formato locale spiega come decidere. Quando sei pronto a scegliere gli account, sfoglia la categoria degli account aged e usa la pagina degli strumenti gratuiti per tutto ciò che sta tra la consegna e l'accesso.

Domande frequenti

Come capisco se una stringa è Base64?

Controlla tre cose: usa solo lettere, cifre, + e /; la lunghezza si adatta a gruppi di quattro con eventuale padding =; e spesso inizia con eyJ quando contiene un oggetto JSON. Lo strumento per identificare il formato automatizza il controllo.

Perché il mio Base64 si decodifica in caratteri illeggibili?

O i dati non erano mai testo, per esempio un'immagine o un contenuto compresso, oppure usavano un'altra codifica dei caratteri. Ottieni caratteri senza senso anche quando la stringa è nella variante URL-safe e non è stata convertita prima.

Che cosa significa il segno di uguale alla fine?

È padding. Base64 codifica a blocchi di quattro caratteri, e uno o due segni di uguale riempiono l'ultimo blocco quando i dati sono insufficienti. Di per sé non contengono alcuna informazione.

Base64 è una forma di cifratura?

No. Base64 cambia soltanto il modo in cui i dati vengono scritti, e chiunque può invertirlo senza chiave. Proteggi una stringa Base64 come proteggeresti i dati leggibili.

Come riconverto il JSON in Base64?

Incolla il JSON nello strumento da JSON a Base64, scegli l'output compatto o indentato e copia il risultato. Lo strumento segnala il JSON non valido prima di codificare.