decodificador jwt

O decodificador JWT divide um token da Web JSON em seus três segmentos separados por pontos, base64url-decodifica o cabeçalho e a carga útil e renderiza ambos como JSON formatados. Os JWTs não são criptografados - a "codificação" é apenas base64url, uma transformação reversível - para que qualquer pessoa que possua um token possa ler todas as reivindicações dentro dele. Essa ferramenta torna essa inspeção instantânea: colar um token de um cabeçalho Set-Cookie, um cabeçalho de autorização (o prefixo do portador é removido automaticamente) ou o painel do provedor de autenticação e ver exatamente o que seu servidor insere.

A tabela de reivindicações é onde a depuração realmente acontece. Registros de tempo registrados - exp (expiração), IAT (emitido em) e NBF (não antes) - são timestamps UNIX, inúteis para ler RAW. O decodificador converte cada um em uma data humana e um tempo relativo ("expirou 3 horas atrás", "expira em 14 minutos") e sinalizadores expirou tokens em vermelho. A maioria dos incidentes "401 não autorizados, mas o token parece bem" se resume a uma EXP vencida, um NBF distorcido no relógio ou uma afirmação AUD que não corresponde ao que a API valida - tudo visível aqui em dois segundos.

Uma coisa que esta ferramenta deliberadamente não faz: verificar assinaturas. A verificação requer o segredo de assinatura (HS256) ou chave pública (RS256/ES256), e uma ferramenta do lado do cliente pedindo para colar um segredo HMAC seria ensinar maus hábitos. A decodificação é 100% do lado do cliente - o token nunca sai do seu navegador, não atinge nenhum servidor e aparece em nenhum log de solicitação, o que importa porque uma produção em tempo real JWT é uma credencial de portadora. Quem tem, é você.

A decodificação não está sendo verificada e a distinção é todo o modelo de segurança de um JWT. O cabeçalho e a carga útil são base64url, não criptografados, portanto, qualquer pessoa que possua um token pode ler todas as reivindicações nele sem nenhuma chave. O que a assinatura fornece é a prova de que o conteúdo não foi alterado e, verificando se requer a chave secreta ou pública, que é uma operação do lado do servidor. Trate a carga útil como informação pública: nunca coloque nada delicado nela.