Ferramenta 15 · Segurança

Decodificador de JWT

Cole um token JWT e veja o que há dentro: algoritmo, quem emitiu, para quem e até quando vale. Tudo no seu navegador.

Token

Cole o JWT (com ou sem "Bearer")

Cole um token e clique em Decodificar.

Conteúdo

Cabeçalho

Payload

Para que serve

JWT (JSON Web Token) é o formato de token mais usado em APIs e logins. Ele parece um texto aleatório, mas é só JSON codificado. Decodificá-lo ajuda a descobrir por que uma chamada deu 401 ou 403: o token expirou? Foi emitido para outro público? Tem o escopo certo?

A estrutura

Um JWT tem três partes separadas por ponto: cabeçalho.conteúdo.assinatura. As duas primeiras são JSON em Base64URL (a variante do Base64 que usa - e _); a terceira é a assinatura criptográfica.

Campos comuns do conteúdo (RFC 7519)

Campo	Significado
`iss`	Quem emitiu o token
`sub`	De quem é o token (o usuário ou a aplicação)
`aud`	Para quem o token foi emitido (o público)
`exp`	Quando expira (segundos desde 01/01/1970, em UTC)
`nbf`	Não vale antes deste instante
`iat`	Quando foi emitido

A ferramenta converte exp, nbf e iat para datas legíveis e avisa quando o token já expirou (pelo relógio do seu computador).

Decodificar não é verificar. Qualquer pessoa consegue ler um JWT; o que o protege é a assinatura, que esta ferramenta não confere. Nunca confie no conteúdo só porque ele está legível. E não cole tokens de produção em ferramentas que você não controla: quem tiver o token pode usá-lo até ele expirar. Aqui o processamento é local, mas o hábito mais seguro é usar tokens de teste.

Erros comuns

"Um JWT tem três partes": o texto colado está incompleto (copiou só uma parte) ou não é um JWT.
"Não consegui decodificar": a parte não é Base64URL com JSON. Tokens opacos (sem pontos) não são JWT.
Horário "errado" de exp: o valor é em UTC. Para Brasília, subtraia três horas ou use o conversor de fuso.

Perguntas frequentes

Posso alterar o conteúdo do token?

Pode editar o texto, mas a assinatura deixa de bater e qualquer servidor correto vai recusar o token.

Como verifico a assinatura?

Com a chave (ou o segredo) usada na emissão, numa biblioteca do seu servidor. Esta ferramenta não pede nem guarda chaves.

Esse Base64 é o mesmo do codificador?

É a variante URL-safe, e o codificador Base64 também a lê. Aqui você vê as duas partes já separadas.

Privacidade e limites

A decodificação é local. A ferramenta lê só tokens JWT assinados (três partes); tokens criptografados (JWE, com cinco partes) não são suportados.