Decodificador de JWT

O que é Decodificador de JWT?

Quando Usar Esta Calculadora

• Debugging why an API rejects a token by inspecting its claims and expiration time
• Checking a token's expiration time during a support investigation or incident response
• Verificar se um provedor de SSO ou OAuth está emitindo as claims que sua aplicação espera.
• Learning how JWTs are structured for interview preparation or security coursework
• Inspecting a token captured from browser dev tools or server logs to understand its contents
• Comparing the header algorithm between tokens to debug algorithm-mismatch authentication failures

Passos:

1. Cole seu JWT na caixa de entrada, ou clique em "Carregar Exemplo" para testar um.
2. O cabeçalho e o payload são decodificados automaticamente enquanto você digita.
3. Revise claims como iss, sub, exp e iat em formato legível.
4. Claims de timestamp (exp, iat, nbf) são convertidas automaticamente em datas legíveis.

Fórmula

Casos de uso

• Depurar por que uma API rejeita um token, inspecionando suas claims
• Verificar o horário de expiração de um token durante uma investigação de suporte
• Confirmar que um provedor SSO ou OAuth está emitindo as claims esperadas
• Aprender como os JWTs são estruturados para entrevistas técnicas ou estudos
• Inspecionar rapidamente um token copiado das ferramentas de desenvolvedor do navegador ou dos logs do servidor

Benefícios Principais

• Decodifique qualquer JWT instantaneamente sem backend ou ferramenta de linha de comando
• Tudo roda no lado do cliente — os tokens nunca são enviados a um servidor
• Converte automaticamente as claims de timestamp em datas legíveis
• Gratuito, sem cadastro, funciona com qualquer JWT independentemente do algoritmo

Dicas Profissionais

• Sempre verifique 'exp' primeiro ao depurar um erro de "não autorizado" — um token expirado é a causa mais comum
• Compare o 'alg' do cabeçalho com o que seu backend espera para detectar bugs de incompatibilidade de algoritmo
• Nunca confie em um payload decodificado como prova de identidade sem verificar a assinatura no servidor
• Use tokens de curta duração com refresh tokens em vez de JWTs de longa duração para limitar a exposição em caso de vazamento

Erros Comuns a Evitar

• Assumir que um JWT decodificado é um JWT verificado — decodificar apenas lê o conteúdo, não confirma sua autenticidade
• Armazenar dados sensíveis (senhas, segredos) no payload, esquecendo que qualquer pessoa pode lê-lo
• Colar tokens de produção em decodificadores online não confiáveis
• Confundir 'exp' (expiração) com 'iat' (emitido em) ao depurar problemas de vida útil do token

Termos Chave Explicados

• Claim: Uma informação afirmada sobre um sujeito, como o ID de um usuário ou um papel
• Header (Cabeçalho): O primeiro segmento do JWT, especificando o algoritmo de assinatura e o tipo de token
• Payload: O segundo segmento do JWT, contendo as claims reais
• Signature (Assinatura): O terceiro segmento do JWT, usado para verificar que o token não foi alterado

Conceitos relacionados

• [object Object]
• [object Object]
• [object Object]
• [object Object]
• [object Object]

Exemplo

Interpretação dos seus resultados