Decodificador de JWT
Decodifique e inspecione JSON Web Tokens com explicações sobre as declarações
Experimente um exemplo
Cole um JWT para inspecionar o cabeçalho, as claims e a assinatura.
Assinatura não verificada. Decodificar não prova que um token seja autêntico ou confiável.
Validade do token
—
- Algoritmo
- —
- Emitido em
- —
- Não válido antes de
- —
- Expira em
- —
Claims registradas
Sobre o Decodificador de JWT
O Decodificador de JWT é uma ferramenta online gratuita que decodifica instantaneamente qualquer JSON Web Token em suas três partes: Header, Payload e Signature. Os JSON Web Tokens (JWTs) são um padrão aberto (RFC 7519) usado para transmitir informações com segurança entre partes, como objetos JSON compactos e autocontidos. Eles são a base da autenticação e da autorização modernas em aplicações web, APIs e microsserviços.
Todo JWT é formado por três segmentos codificados em Base64URL, separados por pontos. O Header especifica o algoritmo de assinatura (como HS256 ou RS256) e o tipo do token. O Payload contém as claims: pares chave-valor com dados do usuário, permissões, tempos de expiração e outros metadados. A Signature garante que o token não foi adulterado e só pode ser verificada com o segredo ou a chave pública corretos.
Esta ferramenta decodifica JWTs inteiramente no seu navegador, sem ida e volta a um servidor, então seus tokens nunca são transmitidos nem armazenados externamente. Ela também verifica o status de expiração, formata timestamps em datas legíveis e explica as registered claims padrão, como iss, sub, aud, exp, iat e nbf.
Principais recursos
- Decodifique instantaneamente qualquer JWT nas seções Header, Payload e Signature
- Verificação automática de expiração, com faixa de status clara: "Token não expirado", "Token ainda não ativo" ou "Token expirado"
- Formatação legível de timestamps Unix (exp, iat, nbf), com exibição do fuso horário
- Explicações para todas as registered claims padrão (iss, sub, aud, exp, nbf, iat, jti)
- Botões de copiar com um clique para o header, o payload e a signature, individualmente
- Decodificação em tempo real enquanto você digita ou cola, com tratamento da entrada por debounce
- Seções com cores: azul para o Header, roxo para o Payload e laranja para a Signature
- Selo do algoritmo (HS256, RS256, ES256 etc.) em destaque na faixa de status
- Token de exemplo para testes rápidos e demonstração
- Processamento 100% no lado do cliente, sem envio de dados a nenhum servidor
Como usar
- Cole seu JWT: copie um JSON Web Token da sua aplicação, da resposta de uma API, das ferramentas de desenvolvedor do navegador ou do seu sistema de autenticação e cole no campo de entrada.
- Veja as seções decodificadas: a ferramenta divide o token na hora em Header, Payload e Signature, exibindo cada parte em um painel formatado e colorido.
- Verifique a expiração: uma faixa de status no topo mostra se o token ainda é válido ou se expirou, junto com a data exata de expiração e a contagem regressiva.
- Leia as explicações das claims: as registered claims padrão, como iss, sub, exp e iat, são anotadas com descrições para que você entenda o que cada campo significa.
- Copie as seções: use o botão de copiar em qualquer seção para copiar o JSON formatado para a área de transferência e usá-lo em documentação ou depuração.
- Experimente um exemplo: clique no botão "Token de exemplo" para carregar um JWT pronto e ver como o decodificador funciona antes de colar seus próprios tokens.
Casos de uso
- Depuração de autenticação: inspecione rapidamente os JWTs retornados pelo seu servidor de autenticação para verificar se claims, funções e permissões estão definidas corretamente.
- Desenvolvimento de APIs: decodifique access tokens durante a integração de APIs para confirmar que o payload contém o ID de usuário, os escopos e o tempo de expiração esperados.
- Auditoria de segurança: examine tokens em busca de exposição de dados sensíveis, algoritmos fracos (como "none") ou prazos de expiração excessivamente longos.
- Aprendizado e ensino: entenda a estrutura do JWT decodificando tokens de exemplo e lendo as descrições anotadas das claims que a ferramenta oferece.
- Diagnóstico de expiração de tokens: descubra se falhas de autenticação são causadas por tokens expirados comparando a claim exp com o horário atual.
- Depuração de microsserviços: inspecione os tokens repassados entre serviços para verificar se os serviços de origem emitem JWTs com a estrutura correta e as claims certas.
- Validação de fluxos OAuth: decodifique ID tokens e access tokens de fluxos OAuth 2.0 e OpenID Connect para verificar os valores de emissor, audiência e escopo.
- Documentação: copie o JSON decodificado do header e do payload para a documentação da API ou para runbooks, a fim de ilustrar as estruturas de token esperadas.
Perguntas frequentes
Esta ferramenta é gratuita?
Sim. O Decodificador de JWT é totalmente gratuito, sem necessidade de conta, sem limites de uso e sem anúncios bloqueando a funcionalidade.
Meus dados estão seguros?
Com certeza. Toda a decodificação acontece inteiramente no seu navegador, usando JavaScript. Seu JWT nunca é enviado a nenhum servidor, o que torna esta ferramenta segura para inspecionar tokens de produção.
Esta ferramenta verifica a assinatura do JWT?
Não. A verificação de assinatura exige a chave secreta (para HMAC) ou a chave pública (para RSA/ECDSA), o que não pode ser feito com segurança em um navegador, no lado do cliente. Use bibliotecas no lado do servidor para validar a assinatura.
Qual é a diferença entre HS256 e RS256?
O HS256 é um algoritmo simétrico que usa um único segredo compartilhado tanto para assinar quanto para verificar. O RS256 é um algoritmo assimétrico que usa uma chave privada para assinar e uma chave pública para verificar, o que o torna ideal para sistemas distribuídos.
Posso decodificar JWTs criptografados (JWE)?
Esta ferramenta decodifica JWTs assinados (JWS). Os JWTs criptografados (JWE) exigem uma chave de descriptografia e não são compatíveis com este decodificador.
Por que meu token aparece como expirado?
A ferramenta compara a claim exp (expiração) com o horário atual do seu sistema. Se o timestamp de expiração estiver no passado, o token é marcado como expirado. Verifique se o relógio do seu sistema está correto.
Dicas e boas práticas
- Mantenha os tokens de curta duração: use tempos de expiração de 15 a 60 minutos para access tokens e combine-os com refresh tokens seguros e somente HTTP para dar continuidade à sessão.
- Nunca guarde segredos no payload: os JWTs são codificados, não criptografados. Qualquer pessoa com o token pode decodificar o payload, então nunca inclua senhas, números de cartão de crédito ou outros dados sensíveis.
- Valide sempre no lado do servidor: decodificar um JWT no navegador é útil para depuração, mas verifique sempre a assinatura no seu backend antes de confiar em qualquer claim.
- Use algoritmos assimétricos em sistemas distribuídos: escolha RS256 ou ES256 quando vários serviços precisarem verificar tokens de forma independente, sem compartilhar uma chave secreta.
- Fique de olho no tamanho do token: payloads grandes aumentam o tamanho dos cabeçalhos da requisição e podem deixar as chamadas de API mais lentas. Mantenha as claims no mínimo e use referências (como IDs de usuário) em vez de embutir perfis completos.
- Faça a rotação das chaves de assinatura com regularidade: implemente estratégias de rotação de chaves usando o parâmetro de header kid (Key ID) para fazer a transição entre chaves de assinatura sem invalidar todos os tokens existentes.