Decodificador JWT
Descodifique e inspecione JSON Web Tokens (cabeçalho, payload, assinatura, reivindicações, expiração e avisos de segurança) com segurança no seu navegador.
O Que Existe Dentro de um JWT?
Um JSON Web Token (JWT) consiste em três partes codificadas em Base64URL separadas por pontos — um cabeçalho que descreve o algoritmo de assinatura, um payload de claims (como um ID de utilizador ou um tempo de expiração) e uma assinatura. Esta ferramenta descodifica e apresenta as três partes para que possa inspecionar o conteúdo de um token.
Como Usar o Descodificador de JWT
- Cole um JWT no campo de entrada.
- O cabeçalho e o payload são descodificados e apresentados automaticamente.
- Reveja valores de claims como a expiração (exp), a data de emissão (iat) e o sujeito (sub), juntamente com o algoritmo de assinatura.
- Verifique o indicador de estado de expiração para ver se o token ainda é válido, está prestes a expirar ou já expirou.
Notas Técnicas
- Esta ferramenta descodifica um JWT — não verifica a assinatura. A descodificação apenas revela o que um token afirma; verificar que um token é autêntico e não foi alterado requer confirmar a sua assinatura com o segredo ou a chave pública corretos, o que esta ferramenta intencionalmente não faz.
- Como o cabeçalho e o payload de um JWT estão apenas codificados (não encriptados), qualquer pessoa que tenha o token pode ler o seu conteúdo — nunca coloque segredos dentro do payload de um JWT.
- Um token com alg definido como "none" não tem nenhuma assinatura e nunca deve ser considerado autêntico por qualquer sistema.
Perguntas frequentes
Esta ferramenta verifica se um JWT é autêntico?+
Não. Descodifica e mostra o cabeçalho, o conteúdo e as reivindicações, e assinala a expiração e alg=none, mas não verifica a assinatura. Um token descodificado só mostra o que afirma; provar que é genuíno exige verificar a assinatura com a chave secreta ou pública do emissor no seu servidor.
O conteúdo de um JWT está cifrado?+
Não. O cabeçalho e o conteúdo estão apenas codificados em Base64URL, por isso qualquer pessoa com o token consegue lê-los. Nunca coloque palavras-passe, segredos ou dados pessoais sensíveis no conteúdo de um JWT.
O que significa "alg": "none" num token?+
Significa que o token não tem qualquer assinatura. Um token assim não oferece nenhuma garantia de integridade ou autenticidade e deve ser rejeitado por qualquer sistema que use JWT para autenticação.