Decodificador de JWT
Decodifique um JWT para ler o cabeçalho, as claims do payload e a assinatura, com exp, nbf e iat exibidos como datas e o status de expiração. Roda localmente; nada é enviado.
O prefixo "Bearer " é removido automaticamente.
{
"alg": "HS256",
"typ": "JWT"
}{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}| Algoritmo | HS256 |
|---|---|
| Assinatura | SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c |
O que é Decodificador de JWT?
O decodificador de JWT divide um JSON Web Token em cabeçalho, payload e assinatura e formata o JSON de forma legível. As claims de tempo (exp, nbf, iat) são convertidas em datas UTC legíveis com tempos relativos, e um selo de status informa se o token está expirado, ainda não é válido ou não tem expiração. Ele só decodifica – não verifica a assinatura.
Como usar Decodificador de JWT
- Cole o token (um
Bearerno início é removido automaticamente). - Leia o cabeçalho decodificado (algoritmo, tipo, ID da chave) e as claims do payload.
- Confira o status de expiração e as datas de exp/nbf/iat.
- Use o Verificador de JWT com a chave certa antes de confiar em qualquer claim.
Exemplo
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Header {"alg": "HS256", "typ": "JWT"} · payload {"sub": "1234567890", "name": "John Doe", "iat": 1516239022} · status: no expiration Quando usar Decodificador de JWT
Use para depurar autenticação: ver quais claims, escopos, audiência ou expiração um token carrega. Não trate as claims decodificadas como confiáveis – qualquer pessoa pode criar um token com conteúdo arbitrário. Tokens criptografados (JWE, cinco partes) não podem ser decodificados sem a chave.
Como funciona Decodificador de JWT
Um JWS compacto tem três partes Base64URL separadas por pontos. As duas primeiras são decodificadas (Base64URL → bytes → UTF-8) e interpretadas como JSON; a terceira é mostrada como está, porque são dados binários de assinatura. As claims de tempo são valores NumericDate (segundos desde 1970-01-01 UTC) e são comparadas com o relógio do seu dispositivo. Nada sai do seu navegador.
Casos de Uso Comuns
- Descobrir por que uma API retorna 401: o token expirou ou é para a audiência errada?
- Ler os papéis ou escopos dentro de um token de acesso.
- Conferir o kid no cabeçalho para ver qual chave de assinatura foi usada.
- Inspecionar ID tokens de um provedor OpenID Connect.
Nota de Segurança
A decodificação acontece só no seu navegador. Trate JWTs como senhas: qualquer pessoa com um token válido pode usá-lo até ele expirar.
Perguntas Frequentes
É seguro colar um token de produção?
O token é decodificado localmente e nunca é enviado. Ainda assim, um token válido é uma credencial – revogue-o se você o compartilhou em algum lugar que não controla.
Por que decodificar não é verificar?
O payload é apenas codificado em Base64URL, não criptografado. A verificação exige conferir a assinatura com o segredo ou a chave pública.
O que significam exp, nbf e iat?
exp é o horário de expiração, nbf é "not before" (o token é inválido antes disso) e iat é o momento em que foi emitido – todos em segundos desde a época Unix.