Decodificador JWT
Cole um JSON Web Token para ler o conteúdo, ver se ele expirou e verificar a assinatura.
Lacrado neste dispositivo
Funciona no seu navegador. Nada é enviado.
Lacrado
A decodificação e a verificação acontecem neste dispositivo. O token nunca é enviado para lugar nenhum.
Decodificado
O header, o payload e as datas do seu token vão aparecer aqui.
Header
Payload
Claims registradas
Verificar a assinatura (opcional)
Decodifique um token primeiro. O algoritmo dele indica qual chave é necessária.
PEM (-----BEGIN PUBLIC KEY-----) ou JWK em JSON. Nunca cole uma chave privada em um site em que você não confia.
Como funciona
-
Cole o token
Cole um JWT de um cabeçalho Authorization, de um cookie ou dos seus logs. Um “Bearer” no início é ignorado.
-
Leia o conteúdo
O header e o payload aparecem como JSON formatado, com exp, iat e nbf convertidos em datas no seu fuso horário.
-
Verifique, se precisar
Informe o segredo compartilhado ou cole a chave pública para confirmar a assinatura, tudo sem o token sair do seu dispositivo.
Perguntas frequentes
É seguro colar um token real aqui?
O token é decodificado e verificado no seu navegador e nunca é enviado para nenhum servidor. Mesmo assim, um token é como uma senha temporária: evite compartilhá-lo e revogue-o se ele tiver sido exposto em outro lugar.
Qualquer pessoa pode ler o conteúdo de um JWT?
Sim. Um JWT assinado padrão é apenas codificado em Base64url, não criptografado, então qualquer pessoa que o tenha pode ler o payload. A assinatura só prova que ninguém o alterou. Nunca coloque segredos no payload de um JWT.
Por que aparece que meu token expirou?
A claim exp guarda o momento da expiração, em segundos desde 1º de janeiro de 1970 (UTC). Se esse momento já passou segundo o relógio do seu dispositivo, o token expirou e os servidores devem rejeitá-lo.
Quais assinaturas podem ser verificadas?
HMAC (HS256, HS384, HS512) com um segredo compartilhado, e RSA (RS256–512, PS256–512) e curva elíptica (ES256, ES384, ES512) com uma chave pública em formato PEM ou JWK. A verificação usa o Web Crypto integrado ao seu navegador.
O que significam iss, sub e aud?
São claims padrão: iss é quem emitiu o token, sub é a quem ele se refere (muitas vezes um ID de usuário) e aud é para quem ele se destina. Os outros campos do payload são específicos da aplicação que criou o token.