🔑 Decodificador JWT ☆

Visão geral

Decodificador JWT decodifica qualquer JSON Web Token diretamente no navegador. Cole um token e veja na hora suas três partes: o cabeçalho (algoritmo, tipo, key ID), o payload (todas as claims em JSON formatado) e a assinatura bruta. Claims de tempo são traduzidas para datas legíveis, e a ferramenta indica se o token é válido, expirado, ainda não válido ou sem expiração. Tudo roda no cliente, seu token nunca é enviado, o que importa porque JWTs costumam carregar identificadores de sessão e dados pessoais. Decodificar não verifica a assinatura.

O que um JWT contém

Um JWT tem três segmentos base64url separados por pontos. O cabeçalho informa algoritmo de assinatura e key id; o payload carrega claims como iss (emissor), sub (sujeito), aud (público), exp (expiração), iat (emitido em) e nbf (não antes); a assinatura permite ao servidor verificar emissor e integridade. O decodificador mostra os três, formata o JSON, humaniza datas e informa se o token é válido, expirado ou ainda não ativo.

Especificações e compatibilidade

Propriedade	Comportamento
Entrada	Qualquer token JWS (header.payload.signature)
Partes decodificadas	Cabeçalho, claims do payload e assinatura bruta
Claims de tempo	exp, iat e nbf como datas legíveis com status
Status	Válido, expirado, ainda não válido ou sem expiração
Assinatura	Não verificada: apenas decodificação
Processamento	100% no cliente; tokens nunca enviados
Custo	Grátis, sem conta e tokens ilimitados

Privacidade: tokens de sessão ficam no navegador

Um JWT geralmente é uma credencial ativa, colá-lo num decodificador online entregaria uma sessão em andamento. Tudo é decodificado localmente: nada é transmitido ou armazenado. Trate a saída como sensível também.

Depurar JWTs com segurança

• Verifique exp primeiro: a maioria dos "token inválido" é expiração.
• Compare iat e nbf quando os relógios divergem.
• Confirme que aud e iss batem com a API.
• alg: none e algoritmos simétricos exigem validação rigorosa no servidor.
• Nunca cole tokens de produção em ferramentas que você não controla.

Veja também as ferramentas de desenvolvimento para Base64, hash e regex.

Estrutura JWT, assinaturas e erros comuns

Um JSON Web Token tem três partes separadas por pontos: um cabeçalho descrevendo o algoritmo, um payload com as claims e uma assinatura que permite ao receptor verificar que as duas primeiras não foram alteradas. As três são codificadas em Base64URL, que é codificação, não criptografia, quem tem o token lê as claims, então nada sensível deve ficar no payload. Decodificar é sempre seguro localmente, enquanto verificar exige o segredo ou a chave pública e deve acontecer no servidor. Vários erros se repetem em sistemas reais. O ataque alg:none explora bibliotecas que confiavam no cabeçalho e aceitavam token sem assinatura; uma implementação correta fixa o algoritmo esperado e rejeita o resto. Usar HS256, algoritmo simétrico, com segredo fraco ou vazado é outro: o segredo precisa ser longo e aleatório, e algoritmos assimétricos como RS256 são preferíveis quando muitos verificam, mas só um assina. A validação de claims é fácil de esquecer: exp e nbf devem ser checados contra a hora atual, iss e aud devem corresponder aos valores esperados, e jti permite revogação quando um token é roubado. Tokens são credenciais portadoras, então devem trafegar só por HTTPS e ser guardados onde scripts não possam lê-los se XSS for uma preocupação. Lembre-se de que um token decodificado não prova nada até a assinatura ser verificada. Esta ferramenta decodifica localmente e não armazena nada.