Sobre Decodificador JWT
Um JSON Web Token são três segmentos base64url unidos por pontos: um cabeçalho que nomeia o algoritmo, uma carga de claims e uma assinatura. O cabeçalho e a carga apenas estão codificados, não criptografados, então qualquer um que tenha o token consegue lê-los. A assinatura é o que prova que o token veio de alguém com a chave de assinatura, e só uma etapa real de verificação consegue demonstrar isso.
Este decodificador separa o token, converte os dois segmentos JSON com tratamento correto de UTF-8 e os imprime com indentação. Ele também transforma exp, iat e nbf em datas locais e as compara com o seu relógio, então um token expirado ou ainda não válido fica óbvio de relance. Ele nunca pede um segredo e nunca afirma que a assinatura é válida.
O que esta ferramenta faz
Os detalhes que importam quando você usa Decodificador JWT no trabalho real.
Cabeçalho e carga como JSON
Os dois segmentos base64url são decodificados com tratamento de UTF-8 e impressos com indentação de dois espaços, e cada painel tem seu próprio botão de copiar.
Expiração de relance
As claims exp, nbf e iat aparecem como datas locais legíveis além de strings ISO UTC, com rótulos de estado expirado, válido e ainda não válido.
Assinatura exibida, não verificada
O segmento de assinatura bruto e seu comprimento em bytes são exibidos para inspeção, junto de um aviso claro de que nenhuma verificação aconteceu e nenhuma chave foi usada.
Prefixo Bearer e quebras de linha tolerados
Tokens copiados de um cabeçalho Authorization ou quebrados por um terminal são limpos antes de decodificar, junto com o preenchimento base64url ausente.
Tokens malformados explicados inline
Contagens de segmentos erradas, base64url inutilizável, UTF-8 inválido e segmentos que não são JSON recebem cada um uma frase específica em vez de uma falha genérica.
Nada sai da aba
A decodificação é JavaScript simples sem requisição de rede, sem armazenamento e sem biblioteca de terceiros, então o token fica na memória da página.
Como usar Decodificador JWT
Sem conta e sem instalação: todo o trabalho acontece nesta aba do navegador.
- 01
Cole o token
Copie o JWT com os três segmentos e cole no campo; um prefixo Bearer e quebras de linha não atrapalham.
- 02
Confira o cabeçalho
O JSON do cabeçalho mostra o algoritmo e o tipo de token; confirme que alg corresponde ao algoritmo que o seu servidor espera antes de confiar em qualquer outra coisa.
- 03
Leia as claims
O JSON da carga lista cada claim, e a seção de tempos transforma exp, iat e nbf em datas locais com um rótulo de estado.
- 04
Copie o que precisar
Use o botão de copiar dos painéis de cabeçalho, carga ou assinatura para levar esse JSON ou segmento a um ticket ou a um editor.
- 05
Verifique corretamente
Leve o token para o código do seu servidor ou para uma biblioteca JWT e verifique a assinatura com a chave de assinatura antes de confiar em qualquer claim.
Como esta ferramenta funciona
- Funciona com
- JWT → JSON
- Processamento
- No cliente, dentro do seu navegador. Nada é enviado.
- Tamanho máximo
- Limitado pela memória disponível na sua aba.
- Requisitos
- Chrome, Edge, Firefox ou Safari · JavaScript habilitado
Limitações que vale conhecer
- Apenas decodificação: assinaturas, emissor, audiência e a lista de algoritmos permitidos não são verificados.
- Tokens JWE criptografados não são suportados; eles precisam da chave de descriptografia e do tratamento de cinco segmentos.
- Os estados de expiração usam o relógio do seu dispositivo e ignoram a margem do servidor, então um token perto do limite exp pode divergir da API.
- A carga de um JWT é legível por design, então esta ferramenta não consegue proteger um token que você não deveria ter.
Privacidade e tratamento de arquivos
O token é decodificado com JavaScript dentro desta aba do navegador. Ele não é enviado, armazenado nem registrado, e a decodificação não faz nenhuma requisição de rede. Mesmo assim, trate qualquer JWT como um segredo, porque um token válido pode funcionar como credencial de login até expirar.
Ler a política de privacidade completaPerguntas frequentes sobre Decodificador JWT
Respostas curtas e diretas às dúvidas comuns antes de usar a ferramenta.
Esta ferramenta verifica a assinatura do JWT?
Posso confiar nas claims mostradas na carga?
O que exp, iat e nbf significam em um JWT?
Por que meu token aparece expirado quando a API ainda o aceita?
O que é base64url e por que meu token contém hífens e sublinhados?
Este decodificador funciona com JWTs criptografados (JWE)?
É seguro colar um JWT nesta página?
Por que devo conferir o cabeçalho alg antes de confiar em um token?
Para continuar lendo
Guias que explicam as decisões por trás de Decodificador JWT.