Decodificar um JWT
Decodifique o header e o payload de um JSON Web Token (JWT) para inspecionar seu conteúdo, diretamente no seu navegador.
Um JWT tem três partes separadas por pontos: header, payload e assinatura. Esta ferramenta decodifica as duas primeiras (que estão em Base64URL, não criptografadas) para mostrar seu conteúdo em JSON legível.
Casos de uso
- Depurar um token de autenticação durante o desenvolvimento.
- Verificar quais claims um JWT contém.
- Verificar a data de expiração de um token.
Como funciona
- 1
Cole o token
Copie o JWT completo (com suas três partes separadas por pontos).
- 2
Revise o conteúdo
O header e o payload são exibidos decodificados e formatados.
Detalhes técnicos
- Divide o token pelos pontos em cabeçalho, carga útil e assinatura, e descodifica as duas primeiras de Base64URL para JSON. Um JWT cifrado (JWE, de cinco partes) não pode ser lido assim.
- Não verifica a assinatura nem a validade: qualquer pessoa pode fabricar um token com este aspeto. Para saber se é válido é preciso verificar a assinatura com a chave do emissor.
- As datas padrão (exp, iat, nbf) aparecem como segundos desde 1970 (tempo Unix); converta-as com o conversor de timestamp Unix para ver a data real.
- O token não sai do navegador, mas um JWT de sessão equivale a uma palavra-passe temporária: não o cole em ferramentas cujo tratamento desconhece.
Perguntas frequentes
Esta ferramenta verifica se o token é autêntico?
Não. Decodificar apenas mostra o conteúdo do token; não verifica a assinatura nem se o token foi emitido por uma fonte confiável. Para isso, é preciso verificar a assinatura com a chave secreta ou pública correspondente.
O conteúdo do JWT está criptografado?
Não, o header e o payload de um JWT padrão (JWS) estão apenas codificados em Base64URL, não criptografados: qualquer pessoa pode lê-los sem precisar de nenhuma chave.