Decodificador JWT
Cole qualquer JSON Web Token para decodificar seu cabeçalho e payload, inspecionar claims padrão, verificar expiração e opcionalmente validar a assinatura. Tudo roda no seu navegador — seu token nunca sai do seu dispositivo.
Token JWT
Cabeçalho
—Payload
—Assinatura
Nada é enviado aos nossos servidores. Toda decodificação e verificação ocorre inteiramente no seu navegador.
Verificar Assinatura
A verificação de assinatura é suportada apenas para tokens HS256. Insira o secret HMAC usado para assinar este token.
Como usar esta ferramenta
- Cole seu JWT na área de texto — ele será decodificado instantaneamente.
- Inspecione o painel Header para ver o algoritmo de assinatura e o tipo do token.
- Leia o painel Payload para ver todos os claims. Se o token tiver um campo 'exp', um indicador mostrará se ainda é válido.
- Para verificar uma assinatura HS256, insira o secret na seção Verificar Assinatura e clique em Verificar.
- Use o botão Copiar em cada painel para copiar o JSON decodificado.
Por que usar nosso Decodificador JWT?
Depurar autenticação JWT é uma tarefa comum no dia a dia de desenvolvimento, mas colar tokens em sites de terceiros é arriscado. Este decodificador roda inteiramente no seu navegador — nenhum dado é transmitido. Use com segurança mesmo para tokens de produção durante depuração local ou revisões de segurança.
Perguntas Frequentes
O que é um JWT?
Um JSON Web Token (JWT) é uma string compacta e segura para URLs usada para transmitir informações entre partes de forma segura. É composto por três seções codificadas em base64url separadas por pontos: Header (algoritmo e tipo), Payload (claims como ID do usuário, papéis e expiração) e Signature para verificar a autenticidade.
JWTs são criptografados?
Por padrão, não. JWTs padrão (JWS — JSON Web Signature) são assinados mas não criptografados, o que significa que o cabeçalho e o payload são legíveis por qualquer um que tenha o token. Se precisar de confidencialidade, use JWE (JSON Web Encryption). Nunca coloque informações sensíveis — senhas, números de cartão — no payload de um JWT simples.
O que significa 'alg: none' e por que é perigoso?
O valor 'alg: none' no cabeçalho JWT significa que o token não possui assinatura. Alguns servidores já aceitaram esses tokens como válidos, permitindo que invasores forjassem payloads arbitrários. Esta é uma vulnerabilidade conhecida (CVE-2015-9235). Um servidor corretamente implementado deve sempre rejeitar tokens com 'alg: none'.
Como verifico uma assinatura JWT com esta ferramenta?
Para tokens HS256, insira o secret HMAC na seção Verificar Assinatura e clique em Verificar. A ferramenta recalcula a assinatura esperada no navegador e compara com a do token. RS256 e outros algoritmos assimétricos não são suportados — use uma biblioteca server-side para esses casos.
Quais são os claims JWT mais comuns?
'iss' (issuer) identifica quem emitiu o token. 'sub' (subject) identifica o principal — geralmente um ID de usuário. 'exp' (expiration time) é um timestamp Unix após o qual o token deve ser rejeitado. 'iat' (issued at) registra quando o token foi criado. 'nbf' (not before) define o momento mais cedo em que o token é válido. 'aud' (audience) identifica os destinatários pretendidos.
Ferramentas Relacionadas
Hash Generator
Generate MD5, SHA-1, SHA-256 and SHA-512 hashes from text or files in your browser.
Base64 Encoder / Decoder
Encode and decode Base64 text quickly and easily.
Cron Expression Builder
Build, test, and understand cron expressions with a visual builder and next run times.
JSON Formatter
Format and validate JSON instantly for development and debugging.
Ferramentas Visitadas Recentemente
CSS Gradient Generator
DeveloperCreate linear, radial and conic CSS gradients with a live visual editor. Copy the CSS code instantly.
Regex Tester
DeveloperTest and debug regular expressions with real-time match highlighting, group capture, and substitution.
Social Media Image Resizer
ImageResize and crop images to the exact size for Instagram, YouTube, X, Facebook, LinkedIn, TikTok, and Pinterest with one-click presets.