Decodificar um token JWT
Cole um token JWT para inspecionar seu header e seu payload decodificados — prático para depurar uma autenticação. Processamento 100% local no seu navegador (WebAssembly).
Atenção: a assinatura NÃO é verificada. Esta ferramenta decodifica apenas o conteúdo do token (header e payload) para que você possa inspecioná-lo — ela não prova de forma alguma que o token é autêntico. Nunca confie em um token apenas com base na decodificação dele: a verificação criptográfica deve sempre ser feita no servidor.
Como funciona
Um JWT (JSON Web Token) é composto por três partes separadas por pontos: header.payload.signature. O header e o payload são apenas codificados em Base64URL — não criptografados — o que significa que qualquer pessoa pode ver o conteúdo deles sem chave nem senha. É justamente o uso típico desta ferramenta: colar o token de autenticação devolvido por uma API para verificar rapidamente o que ele realmente contém (data de expiração exp, papel do usuário, identificador etc.) durante a depuração, sem precisar escrever código nem montar um back-end.
Por que o token “funciona” se eu o modifiquei manualmente?
Porque esta ferramenta não verifica a assinatura: ela apenas decodifica o Base64URL do header e do payload, exatamente como qualquer ferramenta de inspeção. Um servidor configurado corretamente, por outro lado, recalculará a assinatura a partir do conteúdo e a comparará com a fornecida no token — um payload modificado sem a chave secreta correta será rejeitado nesse momento, mesmo que seja decodificado perfeitamente aqui.
O que significa o campo exp no payload?
exp (“expiração”) é um timestamp Unix (segundos desde 1970) após o qual o token deve ser considerado expirado. Um servidor que siga o padrão JWT recusará qualquer requisição que use um token cuja hora atual ultrapasse esse valor, independentemente da validade da assinatura.
Privacidade: a decodificação é feita inteiramente no seu navegador via WebAssembly — o conteúdo dos seus tokens, mesmo que contenham dados sensíveis, nunca sai do seu dispositivo.