Decodificador de JWT (JSON Web Token)
Cole um JWT e veja o cabeçalho e o conteúdo em JSON legível, com as datas de emissão e expiração explicadas e o estado do token (válido, expirado ou ainda não válido). Em tokens HMAC você pode verificar a assinatura com seu segredo. Tudo acontece no seu navegador: o token e o segredo não são enviados a lugar nenhum.
Processado 100% no seu navegador
Decodificar não é verificar: qualquer pessoa pode ler um JWT. Tudo acontece no seu navegador e o token não é enviado a lugar nenhum.
Cole um token para decodificá-lo.
Ctrl + Enter executarCtrl + C copiar resultado
Como usar
- 1Copie o token (o prefixo «Bearer » também serve) e cole na caixa.
- 2Leia o cabeçalho, o payload e as datas exp, iat e nbf com seu estado.
- 3Para verificar a assinatura de um token HS256, HS384 ou HS512, digite o segredo.
- 4Copie o JSON do cabeçalho ou do payload com os botões.
Casos de uso
- Depurar por que uma API rejeita um token: expirado, audiência errada ou permissões ausentes.
- Ver quais claims um token traz antes de usá-lo em uma integração.
- Conferir a data de expiração de um token de acesso ou de refresh.
- Verificar localmente que um token assinado com HMAC não foi alterado.
Perguntas frequentes
Decodificar um JWT é o mesmo que verificá-lo?
Não. Qualquer pessoa pode ler o conteúdo de um JWT porque ele é só codificado em Base64URL. A verificação confere a assinatura e exige a chave; sem ela não dá para saber se o token é autêntico.
É seguro colar meu token aqui?
O token é decodificado no seu navegador e não é enviado a servidor nem guardado. Mesmo assim, evite colar tokens de produção com permissões sensíveis em sites que você não controla.
Quais algoritmos posso verificar?
HS256, HS384 e HS512, que usam um segredo compartilhado. Tokens RS256, ES256 e similares são assinados com chave privada e verificados com a pública, que esta ferramenta não pede.
O que significam exp, iat e nbf?
exp é o instante de expiração, iat quando foi emitido e nbf a partir de quando é válido. São segundos desde 1970 (tempo Unix) e aqui você também os vê como data legível.
O que é alg: none?
Um token sem assinatura. É um risco de segurança se um servidor o aceita, por isso a ferramenta avisa quando vê um.