Decodificador de JWT

Decodifica um JSON Web Token: cole-o para ver o header e o payload como JSON, com claims de tempo, como a expiração, convertidas em datas legíveis. Use-o para conferir o conteúdo de um token e se ele expirou quando um login ou uma chamada de API falha.

Como usar

1. Cole um JWT que começa com eyJ em “Token”. Um “Bearer ” no início é ignorado.
2. Veja o JSON em “Header” e “Payload” e a parte “Assinatura”.
3. Na tabela “Claims”, leia os horários de emissão e de expiração e um status como “Expirado” ou “Em vigor”.
4. Para conferir se o token é confiável, informe o segredo ou a chave pública em “Verificar a assinatura (opcional)”.

Como funciona

• Um JWT tem três partes separadas por pontos: header.payload.signature. As duas primeiras são JSON codificado em Base64url, então podem ser lidas sem chave. exp, nbf e iat são segundos desde 1º de janeiro de 1970 (UTC).
• A verificação usa Web Crypto para HS, RS, PS e ES (256/384/512), e EdDSA quando o navegador oferece suporte. As chaves públicas podem ser fornecidas como PEM, certificado, JWK ou JWKS. Tokens com alg “none” recebem um aviso.
• A decodificação e a verificação rodam no seu navegador; o token e as chaves não são guardados nem enviados. Mesmo assim, prefira tokens de teste ou expirados a tokens de sistemas em produção.

Perguntas frequentes

Como saber quando um JWT expira?

Cole o token. “Expira em” (exp), na tabela “Claims”, mostra a data e a hora, e a coluna de status mostra o tempo restante ou “Expirado”.

O JWT é criptografado?

Um JWT normal (JWS) é assinado, não criptografado, então qualquer pessoa consegue ler o conteúdo. Não coloque senhas nem outros segredos nele. Um token com 5 partes é um JWE criptografado e não pode ser lido sem a chave.

Decodificar prova que o token é autêntico?

Não. Qualquer pessoa pode alterar o conteúdo, então só uma assinatura verificada com a chave certa é confiável. Informe a chave em “Verificar a assinatura (opcional)” para ver “Assinatura válida” ou “Assinatura inválida”.