Verificador de assinatura de JWT
Verifique a assinatura de um JSON Web Token com um segredo HMAC, chave pública PEM, certificado X.509, JWK ou JWKS, e confira exp, nbf, emissor e audiência localmente.
HS256Use pelo menos tantos bytes aleatórios quanto o tamanho do hash (32 bytes para HS256). Senhas curtas podem ser quebradas por força bruta offline.
O que é Verificador de JWT?
Esta ferramenta verifica se um JSON Web Token foi assinado com a chave que você fornece e não foi modificado, e se as claims de tempo são válidas agora. Ela aceita um segredo compartilhado para HS256/384/512, ou uma chave pública PEM, um certificado X.509, um JWK ou um JWKS para tokens RS, PS, ES e EdDSA, com verificações opcionais de emissor e audiência e tolerância de relógio.
Como usar Verificador de JWT
- Cole o token; o algoritmo do cabeçalho é exibido.
- Digite o segredo (HS*) ou a chave pública, o certificado, o JWK ou o JWKS.
- Opcionalmente, defina a tolerância de relógio, o emissor esperado e a audiência esperada, ou marque "Verificar só a assinatura".
- Clique em Verificar e leia o resultado; em caso de sucesso, o payload e as claims de tempo são exibidos.
Exemplo
The jwt.io sample token (HS256) with secret your-256-bit-secret
✓ Signature verified with HS256 and the time claims are valid.
Com o segredo wrong-secret, o resultado é: falha na verificação da assinatura.
Quando usar Verificador de JWT
Use para confirmar que um token foi emitido pelo servidor esperado, depurar erros de "assinatura inválida" ou testar a rotação de chaves. Sem a chave correta, nenhuma ferramenta consegue verificar um JWT. Evite colar segredos de produção em qualquer site; prefira uma chave pública, que pode ser compartilhada com segurança.
Como funciona Verificador de JWT
A verificação roda localmente com a biblioteca jose e a Web Crypto. Só o algoritmo indicado no cabeçalho do token é permitido, e alg "none" é sempre rejeitado. Tokens HMAC são verificados com os bytes UTF-8 (ou decodificados de Base64) do segredo; tokens assimétricos com uma chave SPKI, X.509, JWK ou um JWKS local importado (escolhido pelo kid). Depois da assinatura, exp e nbf são comparados com o relógio do seu dispositivo (mais a tolerância), e iss/aud são comparados se você os informou. Cada falha é informada com um motivo específico.
Casos de Uso Comuns
- Verificar se um token foi assinado com a chave atual ou com a antiga depois de uma rotação.
- Depurar por que um gateway rejeita tokens (expirado vs. audiência errada vs. assinatura inválida).
- Verificar um ID token do OpenID Connect com o JWKS do provedor.
- Confirmar que um token não foi adulterado.
Nota de Segurança
A verificação acontece no seu navegador; chaves e tokens não são enviados. Chaves públicas podem ser compartilhadas com segurança; segredos, não.
Perguntas Frequentes
Ele consegue verificar um token sem a chave?
Não. Uma assinatura só pode ser conferida com o segredo (HMAC) ou com a chave pública do emissor. Decodificar sem a chave não prova nada.
Onde consigo a chave pública?
Os provedores OpenID Connect publicam um JWKS no jwks_uri listado em /.well-known/openid-configuration. Cole o JSON aqui.
Por que uma assinatura válida ainda assim falha?
O token pode estar expirado, ainda não ser válido (nbf) ou ter um emissor ou uma audiência diferentes dos que você informou. A mensagem diz qual verificação falhou.