Decodificador JWT
Decodifique e inspecione JSON Web Tokens (JWT) com análise detalhada de claims
Estrutura do token
00
Algoritmo
—
Claims
0
Status do token
—
Cole seu token JWT aqui...
01
O que é um JWT?
Um JSON Web Token, ou JWT, é uma string compacta que carrega claims, como quem é o usuário e quando o acesso expira. Ele tem três partes separadas por pontos: header, payload e assinatura. O header e o payload são JSON codificado em Base64 URL-safe, então qualquer pessoa consegue lê-los. A assinatura permite que um servidor confirme que o token não foi alterado.
Este decodificador separa o token, mostra o header e o payload como JSON formatado e transforma os claims exp, iat e nbf em datas legíveis, com o status de expiração ao vivo. Ele só decodifica e não verifica a assinatura. O token é decodificado no navegador e nunca é enviado, então você pode inspecionar tokens de produção sem passá-los a terceiros.
02
Como decodificar um JWT
- Cole o token na entrada ou clique em Carregar exemplo para testar um.
- Leia o header para ver o algoritmo de assinatura e o tipo de token.
- Leia o payload para ver os claims, com as datas no seu horário local.
- Confira o status do token para saber se ele está ativo ou expirado.
- Copie o header ou o payload como JSON se precisar deles em outro lugar.
03
Perguntas frequentes sobre o decodificador JWT
- O que são header, payload e assinatura de um JWT?
- O header informa o algoritmo de assinatura, como HS256 ou RS256, e o tipo de token. O payload contém os claims: os registrados, como sub, iss, aud e exp, e quaisquer dados personalizados. A assinatura é calculada a partir do header e do payload com um segredo ou uma chave privada, então qualquer mudança em uma das partes a invalida.
- É seguro colar um JWT aqui?
- O token é decodificado nesta aba do navegador e nunca é enviado a um servidor, registrado ou armazenado, então colar um token de produção aqui não o expõe. Mesmo assim, trate tokens como senhas: quem tem um token válido pode usá-lo até ele expirar. Limpe a entrada quando terminar e evite compartilhar prints do payload.
- O que significam exp, iat e nbf?
- São timestamps Unix em segundos. exp é o momento da expiração, depois do qual o token deve ser rejeitado. iat é quando o token foi emitido, e nbf é o momento antes do qual ele não deve ser aceito. O decodificador mostra cada um como data no seu horário local. Para converter outros timestamps, use o Conversor de timestamp Unix.
- Esta ferramenta verifica a assinatura do JWT?
- Não. Ela decodifica o header e o payload, mas não confere a assinatura, então um token decodificado não prova que ele é autêntico. A verificação exige o segredo, nos algoritmos HMAC, ou a chave pública, no RSA e no ECDSA, e deve ser feita no seu servidor com uma biblioteca JWT mantida.
04