Decodificador de JWT

Cole qualquer JWT para decodificar instantaneamente seu cabeçalho e payload — inspecione claims, horários de expiração e assinatura sem sair do navegador ou enviar dados a lugar nenhum.

O que é Decodificador de JWT?

Um JWT (JSON Web Token) é a forma padrão como as APIs web modernas representam claims de autenticação e autorização. É um token compacto e autocontido formado por três partes — um cabeçalho descrevendo o algoritmo de assinatura, um payload carregando as claims reais (como ID do usuário, papéis e expiração) e uma assinatura que permite ao servidor receptor verificar que o token não foi adulterado.

Este decodificador lê o cabeçalho e o payload instantaneamente para que você possa depurar problemas de autenticação, inspecionar quais claims uma API está realmente enviando, ou verificar quando um token expira — tudo isso sem precisar de um backend, uma ferramenta de linha de comando, ou colar tokens sensíveis em um servidor terceiro, já que tudo roda localmente no seu navegador.

Fórmula

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Decodificação: divida por ".", decodifique em base64Url as duas primeiras partes, interprete como JSON.

Verificação (não realizada aqui): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Como calcular

Cole seu JWT na caixa de entrada, ou clique em "Carregar Exemplo" para testar um.
O cabeçalho e o payload são decodificados automaticamente enquanto você digita.
Revise claims como iss, sub, exp e iat em formato legível.
Claims de timestamp (exp, iat, nbf) são convertidas automaticamente em datas legíveis.

Exemplo

Um token que começa com eyJhbGciOiJIUzI1NiJ9 decodifica para um cabeçalho {"alg":"HS256","typ":"JWT"} — indicando que o token foi assinado com HMAC-SHA256.

Benefícios Principais

Decodifique qualquer JWT instantaneamente sem backend ou ferramenta de linha de comando
Tudo roda no lado do cliente — os tokens nunca são enviados a um servidor
Converte automaticamente as claims de timestamp em datas legíveis
Gratuito, sem cadastro, funciona com qualquer JWT independentemente do algoritmo

Erros Comuns a Evitar

Assumir que um JWT decodificado é um JWT verificado — decodificar apenas lê o conteúdo, não confirma sua autenticidade
Armazenar dados sensíveis (senhas, segredos) no payload, esquecendo que qualquer pessoa pode lê-lo
Colar tokens de produção em decodificadores online não confiáveis
Confundir 'exp' (expiração) com 'iat' (emitido em) ao depurar problemas de vida útil do token

Dicas Profissionais

Sempre verifique 'exp' primeiro ao depurar um erro de "não autorizado" — um token expirado é a causa mais comum
Compare o 'alg' do cabeçalho com o que seu backend espera para detectar bugs de incompatibilidade de algoritmo
Nunca confie em um payload decodificado como prova de identidade sem verificar a assinatura no servidor
Use tokens de curta duração com refresh tokens em vez de JWTs de longa duração para limitar a exposição em caso de vazamento

Termos Chave Explicados

Claim: Uma informação afirmada sobre um sujeito, como o ID de um usuário ou um papel
Header (Cabeçalho): O primeiro segmento do JWT, especificando o algoritmo de assinatura e o tipo de token
Payload: O segundo segmento do JWT, contendo as claims reais
Signature (Assinatura): O terceiro segmento do JWT, usado para verificar que o token não foi alterado

Casos de uso comuns

Depurar por que uma API rejeita um token, inspecionando suas claims
Verificar o horário de expiração de um token durante uma investigação de suporte
Confirmar que um provedor SSO ou OAuth está emitindo as claims esperadas
Aprender como os JWTs são estruturados para entrevistas técnicas ou estudos
Inspecionar rapidamente um token copiado das ferramentas de desenvolvedor do navegador ou dos logs do servidor

Perguntas Frequentes

O que é um JWT?

Um JSON Web Token (JWT) é uma forma compacta e segura para URLs de representar claims entre duas partes. Consiste em três partes codificadas em Base64URL separadas por pontos: um cabeçalho, um payload e uma assinatura.

É seguro colar meu JWT nesta ferramenta?

A decodificação acontece inteiramente no seu navegador usando JavaScript — o token nunca é enviado a nenhum servidor. Ainda assim, trate JWTs como senhas: evite colar tokens de sistemas de produção em qualquer ferramenta online, incluindo esta.

Por que esta ferramenta não consegue verificar a assinatura?

Verificar a assinatura de um JWT exige a chave secreta (para algoritmos HMAC) ou a chave pública (para algoritmos RSA/ECDSA) que apenas o servidor emissor deveria possuir. Esta ferramenta só decodifica o cabeçalho e o payload legíveis — nunca tem acesso a essa chave.

O que significa a claim 'exp'?

'exp' (Expiration Time) é um timestamp Unix que indica quando o token deixa de ser válido. Esta ferramenta converte automaticamente esse valor em uma data legível para você verificar rapidamente se um token expirou.