Decodificador de JWT
Veja o header e o payload de um token JWT.
Só decodifica o conteúdo — não verifica a assinatura nem valida o token.
Sobre a ferramenta
Um JWT (JSON Web Token) tem três partes separadas por ponto: header, payload e assinatura. As duas primeiras são apenas JSON codificado em Base64URL. Cole o token para ver o conteúdo e a data de expiração.
Como usar
- Cole o token JWT completo na caixa de texto.
- Clique em “Decodificar”.
- Confira o header, o payload e se o token já expirou.
As três partes de um JWT
O header diz qual algoritmo foi usado para assinar o token, como HS256 ou RS256, e o tipo do token. O payload carrega as informações, chamadas de claims: quem é o usuário, quais permissões ele tem e até quando o token vale. A assinatura é calculada a partir das duas primeiras partes com uma chave secreta, e é ela que garante que ninguém alterou o conteúdo.
Por isso, decodificar um token é diferente de validá-lo. Qualquer pessoa consegue ler o header e o payload, mas só quem tem a chave consegue gerar uma assinatura que o servidor aceite.
Claims mais comuns
O padrão JWT (RFC 7519) define alguns nomes curtos que aparecem em quase todo token:
- sub: o identificador do usuário ou do assunto do token.
- iss: quem emitiu o token, por exemplo o servidor de autenticação.
- aud: para quem o token foi emitido, como uma API específica.
- exp: a data de expiração, em timestamp Unix (segundos).
- iat: quando o token foi emitido.
- nbf: a partir de quando o token passa a valer.
Usando o decodificador para depurar
Os problemas de autenticação mais comuns aparecem logo no payload: token expirado, audience errada, permissão faltando ou relógio do servidor fora de sincronia com o emissor. Colar o token aqui mostra essas informações na hora.
Um cuidado: tokens de produção dão acesso à conta de alguém enquanto não expiram. Evite colá-los em ferramentas que enviam o conteúdo para servidores. Aqui a decodificação acontece só no seu navegador, mas o hábito de tratar tokens como senhas vale para qualquer lugar.
Perguntas frequentes
Esta ferramenta verifica a assinatura do token?
Não. Ela só decodifica o conteúdo. Para validar a assinatura é preciso a chave do emissor, no seu backend.
O payload de um JWT é secreto?
Não. Ele é só codificado, não criptografado, e qualquer pessoa com o token consegue lê-lo. Por isso não se coloca informação sensível no payload.
O token é enviado para algum servidor?
Não. A decodificação acontece no seu navegador.