decodificador jwt

O decodificador JWT divide um token da Web JSON em seus três segmentos separados por pontos, base64url-decodifica o cabeçalho e a carga útil e renderiza ambos como JSON formatados. Os JWTs não são criptografados - a "codificação" é apenas base64url, uma transformação reversível - para que qualquer pessoa que possua um token possa ler todas as reivindicações dentro dele. Essa ferramenta torna essa inspeção instantânea: colar um token de um cabeçalho Set-Cookie, um cabeçalho de autorização (o prefixo do portador é removido automaticamente) ou o painel do provedor de autenticação e ver exatamente o que seu servidor insere.

A tabela de sinistros é onde acontece a depuração As reivindicações de tempo registradas - exp (expiração), iat (emitido em) e nbf (não antes) - são carimbos de data/hora Unix, inúteis para leitura bruta O decodificador converte cada um em uma data UTC e uma hora relativa, mostrada como "Expirado (3 horas atrás)" ou "Válido (expira em 14 minutos)", e sinaliza tokens expirados em vermelho A maioria dos incidentes "401 Não autorizado, mas o token parece bom" se resume a um exp expirado, um nbf distorcido pelo relógio ou uma reivindicação de áudio que não corresponde ao que a API valida - tudo visível aqui em dois segundos.

Uma coisa que esta ferramenta deliberadamente não faz: verificar assinaturas. A verificação requer o segredo de assinatura (HS256) ou chave pública (RS256/ES256), e uma ferramenta do lado do cliente pedindo para colar um segredo HMAC seria ensinar maus hábitos. A decodificação é 100% do lado do cliente - o token nunca sai do seu navegador, não atinge nenhum servidor e aparece em nenhum log de solicitação, o que importa porque uma produção em tempo real JWT é uma credencial de portadora. Quem tem, é você.

A decodificação não está sendo verificada e a distinção é todo o modelo de segurança de um JWT. O cabeçalho e a carga útil são base64url, não criptografados, portanto, qualquer pessoa que possua um token pode ler todas as reivindicações nele sem nenhuma chave. O que a assinatura fornece é a prova de que o conteúdo não foi alterado e, verificando se requer a chave secreta ou pública, que é uma operação do lado do servidor. Trate a carga útil como informação pública: nunca coloque nada delicado nela.

Uma maneira rápida de decodificar um token JWT online e verificar o resultado: colar Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiI0MiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI5MjAwfQ.sig e clique em Decodificar O prefixo Bearer é descartado, o painel Cabeçalho mostra {"alg": "HS256", "typ": "JWT"} e o painel Carga Útil, que funciona como uma carga útil do visualizador JWT com seu próprio botão Copiar, mostra sub "42", iat 176725600 e exp 176729200. A tabela de sinistros transforma aqueles em 2026-0101000000 e a ferramenta de assinatura ainda é expirada.0000100, e o segmento de assinatura ainda assim,000000100101010010101000010010100000 e o segmento de assinatura