Decodificador JWT
Um decodificador JWT gratuito para ler qualquer JSON Web Token. Cole um token e veja o cabeçalho, o payload e a assinatura, cada claim padrão explicada e se já expirou. A decodificação acontece inteiramente no seu navegador — o token não é enviado a lugar algum.
Decodificador JWT
Cole abaixo um JSON Web Token. Ele é decodificado no seu navegador enquanto você digita, e nada é enviado nem guardado.
Cole um token acima para decodificá-lo.
Nada decodificado ainda.
O token é decodificado localmente com JavaScript. Nunca é enviado a um servidor, nunca é registrado e nunca é salvo — nem no armazenamento do navegador.
As claims padrão, explicadas
Um JSON Web Token reúne três partes codificadas em Base64url numa única string: um cabeçalho que diz como ele foi assinado, um payload com claims sobre o usuário e a sessão, e uma assinatura. As duas primeiras são codificadas, não criptografadas, então qualquer um que tenha o token pode lê-las. Este decodificador mostra exatamente o que elas contêm.
Principais vantagens
Casos de uso comuns
Como usar
- 1.Cole o token. Cole o token inteiro, com os dois pontos. Um “Bearer ” no início é removido para você.
- 2.Leia o painel de estado. Ele mostra o algoritmo de assinatura, o id da chave se houver, e se o token expirou.
- 3.Confira as claims. As claims padrão aparecem primeiro, com os timestamps convertidos em datas reais; as personalizadas vêm depois.
- 4.Copie o que precisar. O cabeçalho e o payload têm cada um um botão de cópia, para colar num ticket ou num teste.
As claims padrão, explicadas
A maioria dos tokens carrega um punhado de claims registradas. Estas são as que você verá com mais frequência, e para que cada uma realmente serve.
Principais recursos
- Decodifica cabeçalho, payload e assinatura separadamente
- Converte exp, nbf e iat em datas legíveis e tempos relativos
- Sinaliza token expirado, token ainda não válido e alg: none
- Explica cada claim registrada ao lado do seu valor
- Botões de cópia para o cabeçalho e o payload decodificados
- Funciona offline depois que a página carrega
- Sem conta, sem envio, sem armazenamento
Decodificar não é verificar
Esta é a coisa mais importante a entender sobre qualquer decodificador JWT, inclusive este. Decodificar lê o Base64url e mostra o JSON. Não prova nada sobre o token ser legítimo. Qualquer pessoa pode fabricar um token que diga "role":"admin" e ele será decodificado perfeitamente aqui.
Só verificar a assinatura com a chave do emissor prova que um token é autêntico, e isso pertence ao seu servidor, nunca a uma aba do navegador. Trate o que vê aqui como uma leitura para depuração, não como prova. E como o payload é apenas codificado, nunca coloque nada secreto nele — um JWT é legível por quem o tiver. Para a versão longa — as claims por trás da maioria dos 401, a confusão de algoritmos e por que um JWT não pode ser revogado — leia nosso guia para decodificar e depurar JSON Web Tokens.
Perguntas frequentes
O que é um JWT?⌄
Um JSON Web Token é uma string compacta e segura para URLs, com três partes codificadas em Base64url e separadas por pontos: um cabeçalho que descreve o algoritmo de assinatura, um payload de claims e uma assinatura. É usado principalmente como token de acesso ou token de identidade depois de um login.
É seguro decodificar um JWT aqui?⌄
A decodificação acontece inteiramente no seu navegador, com JavaScript. O token nunca é enviado aos nossos servidores, nunca é registrado e nunca é gravado no armazenamento do navegador. Mesmo assim, um token é uma credencial ativa até expirar, então trate-o como uma senha onde quer que o cole.
Isto verifica a assinatura?⌄
Não, e nenhuma ferramenta de navegador deveria. Verificar exige a chave secreta ou pública do emissor, que pertence ao seu servidor. Decodificar só mostra o que o token diz; não consegue dizer se ele é legítimo ou se foi alterado.
Por que meu token aparece como expirado?⌄
A claim exp é um timestamp Unix em segundos, e o token é inválido a partir daquele momento. O painel de estado converte isso numa data real e diz há quanto tempo passou. Uma causa comum de expiração inesperada é um relógio de servidor fora de sincronia.
Posso decodificar um token sem o segredo?⌄
Sim. O cabeçalho e o payload são codificados, não criptografados, então podem ser lidos por qualquer um que tenha o token. O segredo só é necessário para conferir a assinatura, não para ler o conteúdo — e é exatamente por isso que você nunca deve colocar dados sensíveis num payload.