Decodificador de JWT
Cole um token JWT para ver o cabeçalho e o payload, saber se ele expirou e conferir a assinatura com o segredo. O token é processado no seu navegador e não sai dele.
Seus dados são processados no seu navegador e não são enviados nem armazenados.
Como usar
- Cole o token JWT completo, com as três partes separadas por ponto.
- Confira o cabeçalho, o payload e as datas de expiração e emissão.
- Se quiser verificar a assinatura, informe o segredo e clique em verificar.
- Leia o aviso: sem verificar a assinatura, o conteúdo não é confiável.
Estrutura de um JWT
Um JWT tem três partes: o cabeçalho, que diz o algoritmo, o payload, com as informações, e a assinatura. As duas primeiras são JSON codificado em Base64URL. Decodificar não exige o segredo, porque o conteúdo não é cifrado.
Datas: exp, iat e nbf
O exp indica quando o token expira, o iat indica quando foi emitido e o nbf indica a partir de quando ele vale. Essas datas são números de segundos desde 1970. A ferramenta mostra cada uma no seu fuso e em UTC.
Verificar a assinatura
A verificação recalcula a assinatura com o segredo e compara com a do token. Ela funciona para HS256, HS384 e HS512. Tokens assinados com chaves RSA ou ECDSA não são verificados aqui. Um segredo errado mostra assinatura inválida.
Segurança do token
Não cole em um site público um token de produção com segredo real. Mesmo sem enviá-lo, tokens válidos dão acesso a sistemas. Revogue o token se ele vazar, e use tokens de teste para exemplos.
Como usar o resultado
Use a decodificação para depurar uma integração, entender as permissões de um usuário ou conferir quando um token expira. Para decidir se um token é confiável, a verificação de assinatura no servidor continua sendo a referência.
Dicas de uso
Ao investigar um erro de autenticação, confira primeiro a data de expiração e o horário do servidor, porque diferenças de relógio causam rejeições. Verifique também o algoritmo do cabeçalho: um token HS256 com um segredo de outro ambiente sempre falha na verificação. Use sempre tokens de teste em documentações e exemplos.
Cuidados ao copiar o resultado
Nunca cole um token de produção em ferramentas de terceiros, mesmo que pareça confiável. Se precisar depurar um token real, faça isso em um ambiente local e troque o segredo depois. Ao compartilhar um exemplo, substitua o payload por dados fictícios e gere um novo token com o segredo de teste.
Perguntas frequentes
Decodificar um JWT expõe a senha?
Não há senha dentro do JWT. O token contém dados de identificação e permissões, que não são cifrados.
O token é enviado para algum servidor?
Não. A decodificação e a verificação acontecem no navegador.
Por que a assinatura aparece inválida?
O segredo pode estar errado, ou o token pode ter sido alterado. Confira o segredo com quem emitiu o token.
Um token expirado ainda é decodificado?
Sim. A decodificação não depende da validade. A ferramenta apenas informa que ele expirou.