JWT

Um decodificador e visualizador de JWT online e gratuito que divide um JSON Web Token em suas três partes — cabeçalho, payload e assinatura — e mostra o cabeçalho e o payload decodificados como JSON legível. Use-o para inspecionar as claims dentro de um bearer token enquanto depura uma API, para confirmar qual algoritmo de assinatura e id de chave um token declara, ou para verificar quando um token expira. A decodificação acontece inteiramente no seu navegador, então o token nunca é transmitido para um servidor — uma diferença importante em relação a serviços que decodificam no lado do servidor. Observe que esta ferramenta lê um token para inspeção; ela não verifica a assinatura, o que exigiria o segredo de assinatura ou a chave pública.

Usos comuns

• Inspecionar as claims (sub, exp, iat) dentro de um bearer token enquanto depura uma API.
• Confirmar qual algoritmo (alg) e id de chave (kid) um token declara em seu cabeçalho.
• Verificar a expiração de um token sem colá-lo em um serviço online que você não controla.
• Ler o payload de um token retornado por um provedor de autenticação para ver os escopos concedidos.
• Comparar dois tokens para identificar qual claim mudou entre as requisições.

Perguntas frequentes

Isto verifica a assinatura do JWT?

Não. Esta ferramenta decodifica o cabeçalho e o payload para inspeção; ela não verifica a assinatura, o que exige o segredo de assinatura ou a chave pública.

É seguro colar um token real aqui?

A decodificação roda inteiramente no seu navegador e o token nunca é transmitido. Ainda assim, trate tokens de produção com cuidado e evite compartilhar a saída decodificada.

Quais são as três partes de um JWT?

Um JWT tem um cabeçalho (algoritmo e tipo de token), um payload (as claims) e uma assinatura — unidos por pontos. Esta ferramenta decodifica o cabeçalho e o payload em base64url e os exibe como JSON.

Por que a assinatura é mostrada, mas não decodificada?

A assinatura é um valor criptográfico, não dados codificados, então ela não tem uma forma legível por humanos. Ela é usada para verificar o token, o que exige a chave de assinatura.

Consigo saber se um token está expirado?

Sim. O payload decodificado mostra as claims exp (expiração) e iat (emitido em) como timestamps, para que você possa ver se o token ainda é válido.