decodificador jwt

O decodificador JWT divide um token da Web JSON em seus três segmentos separados por pontos, base64url-decodifica o cabeçalho e a carga útil e renderiza ambos como JSON formatados. Os JWTs não são criptografados — a "codificação" é apenas base64url, uma transformação reversível — para que qualquer pessoa que possua um token possa ler todas as reivindicações dentro dela. Essa ferramenta torna essa inspeção instantânea: colar um token de um cabeçalho Set-Cookie, um cabeçalho de autorização (o prefixo do portador é removido automaticamente) ou o painel do provedor de autenticação e ver exatamente o que seu servidor insere.

A tabela de reivindicações é onde a depuração realmente acontece. Registros de tempo registrados — exp (expiração), IAT (emitido em) e NBF (não antes) — são timestamps UNIX, inúteis para ler RAW. O decodificador converte cada um em uma data humana e um tempo relativo ("expirou 3 horas atrás", "expira em 14 minutos") e sinalizadores expirou tokens em vermelho. A maioria dos incidentes "401 não autorizados, mas o token parece bom" se resume a uma EXP vencida, uma NBF distorcida no relógio ou uma afirmação AUD que não corresponde ao que a API valida - tudo aqui visível em dois segundos.

Uma coisa que esta ferramenta deliberadamente não faz: verificar assinaturas. A verificação requer o segredo de assinatura (HS256) ou chave pública (RS256/ES256), e uma ferramenta do lado do cliente pedindo para colar um segredo HMAC seria ensinar maus hábitos. A decodificação é 100% do lado do cliente - o token nunca sai do seu navegador, não atinge nenhum servidor e aparece em nenhum log de solicitação, o que importa porque uma produção em tempo real JWT é uma credencial de portadora. Quem tem, é você.