Decodificador JWT
Decodifique JSON Web Tokens, inspecione o header e os claims do payload, verifique a expiração e as assinaturas com privacidade.
Header
Payload
Claims
| Claim | Valor | Significado |
|---|
Verificar assinatura
Decodificar não prova que um token é autêntico. Informe o segredo ou a chave pública para verificar a assinatura localmente no seu navegador.
100% privado: tudo roda no seu navegador e nada é enviado.
Como decodificar um JWT
Sem cadastro e sem instalação: funciona direto no seu navegador.
- Passo 1:Cole o token na caixa de entrada (o prefixo Bearer é removido automaticamente) ou clique em Carregar exemplo.
- Passo 2:Leia o header e o payload decodificados, a tabela de claims e os selos de status de expiração.
- Passo 3:Opcionalmente, informe o segredo HMAC ou a chave pública PEM e clique em Verificar assinatura para confirmar que o token é autêntico.
Perguntas frequentes sobre o decodificador JWT
É seguro colar um JWT em um decodificador online?
Com esta ferramenta, sim: a decodificação e a verificação rodam inteiramente no seu navegador e o token nunca é enviado. Mesmo assim, trate tokens de produção como senhas e evite compartilhá-los em tickets, chats ou capturas de tela.
Decodificar um JWT o verifica?
Não. Qualquer pessoa pode decodificar um JWT porque o header e o payload são apenas codificados em Base64URL, não criptografados. Só a verificação da assinatura com o segredo ou a chave pública corretos prova que o token é autêntico e não foi alterado.
Como saber se um JWT expirou?
Veja o claim exp, um timestamp Unix em segundos. O decodificador o converte para a sua data e hora local e mostra um selo de Expirado ou Não expirado, junto com nbf (não antes de) e iat (emitido em).
Quais algoritmos de assinatura podem ser verificados?
HS256, HS384 e HS512 com um segredo compartilhado, e RS256/384/512, PS256/384/512 e ES256/384/512 com uma chave pública em PEM, usando a Web Crypto API nativa do navegador.
Qual a diferença entre JWS e JWE?
Um JWS (três partes) é assinado: seu conteúdo pode ser lido, mas não adulterado. Um JWE (cinco partes) é criptografado, então seu payload não pode ser lido sem a chave de descriptografia. Esta ferramenta decodifica tokens JWS, usados na maioria dos tokens de acesso e de ID.
Ferramentas Relacionadas
O que é um JWT e como decodificá-lo?
Um JSON Web Token (JWT) é uma string compacta e segura para URLs usada pelo OAuth 2.0, pelo OpenID Connect e pela maioria das APIs modernas para transportar dados de identidade e autorização. Ele tem três partes codificadas em Base64URL separadas por pontos: um header que indica o algoritmo de assinatura, um payload com claims como sub, iss, aud, iat e exp, e uma assinatura que prova que o token não foi adulterado. Decodificar um JWT significa apenas decodificar as duas primeiras partes em Base64URL para ler o JSON interno — exatamente o que você precisa ao depurar fluxos de login, gateways de API, sessões expiradas ou problemas de permissão.
Este decodificador JWT gratuito mostra o header e o payload como JSON formatado, explica cada claim padrão, converte timestamps como exp, nbf e iat em datas locais legíveis e informa num relance se o token é válido, expirou ou ainda não está ativo. Ele também sinaliza tokens inseguros com alg none e pode verificar a assinatura com um segredo HMAC (HS256, HS384, HS512) ou uma chave pública PEM (RS256, PS256, ES256 e variantes mais fortes) usando a Web Crypto API do navegador. Os tokens são processados inteiramente no seu dispositivo — nunca são enviados aos nossos servidores —, então você pode inspecionar tokens de acesso e de ID reais com segurança.