Decodificador JWT Online

Use este decodificador JWT para inspecionar o cabeçalho, o payload e as claims exp/iat/nbf de um token.

Os tokens são decodificados localmente no seu navegador e nada é enviado, mas evite colar tokens ou segredos reais de produção em qualquer ferramenta online.

Criado e mantido por Udit Agarwal

JSON Web Tokens (JWT), Explained

Precisa criar e assinar um token? Experimente o JWT Signer.

Sobre Decodificador de JWT

Este decodificador JWT divide qualquer JSON Web Token em seus segmentos de cabeçalho, payload e assinatura e os exibe como um JSON limpo e legível. Cole um token (com ou sem o prefixo "Bearer ") e ele decodifica os segmentos base64url instantaneamente, destacando em seguida as claims de tempo padrão — exp, iat e nbf — como datas UTC legíveis, com selos indicando se o token está expirado, ativo ou ainda não é válido. Foi feito para desenvolvedores backend, engenheiros de API e testadores de QA que precisam depurar cabeçalhos de autenticação, inspecionar o conteúdo de um token ou confirmar uma expiração sem recorrer a uma biblioteca no servidor. Use-o como um parser jwt rápido ou decodificador de token online durante a depuração local. A decodificação acontece localmente no seu navegador, então o token que você cola nunca sai do seu dispositivo e nada é enviado.

Recursos

  • Decodifica o cabeçalho e o payload do JWT em JSON formatado e com destaque de sintaxe
  • Interpreta as claims exp, iat e nbf e as exibe como timestamps UTC legíveis
  • Sinaliza tokens como Expirado, Válido, Ativo ou Ainda não válido com selos coloridos
  • Aceita tokens com ou sem o prefixo Bearer inicial
  • Exibe o segmento bruto da assinatura separadamente para inspeção
  • Avisa claramente que a decodificação nunca verifica a assinatura ou a autenticidade do token
  • Botões de copiar para o JSON do cabeçalho e do payload decodificados, além de um controle Limpar

Como usar Decodificador de JWT

  1. Cole seu JWT na caixa de entrada JSON Web Token.
  2. Leia o cabeçalho e o payload decodificados, exibidos como JSON formatado.
  3. Verifique a seção Claims para as datas de emissão, not-before e expiração e os selos de status.
  4. Use os botões Copiar para pegar o JSON do cabeçalho ou do payload, ou Limpar para recomeçar.

Exemplo

Entrada

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0IiwibmFtZSI6IkphbmUiLCJpYXQiOjE1MTYyMzkwMjJ9.signature

Saída

Header:
{
  "alg": "HS256",
  "typ": "JWT"
}

Payload:
{
  "sub": "1234",
  "name": "Jane",
  "iat": 1516239022
}

O decodificador divide o token e exibe o cabeçalho e o payload como JSON; iat aparece como uma data legível.

Erros comuns e solução de problemas

  • Você vê um erro informando que o token precisa de pelo menos dois segmentos separados por ponto. — Um JWT deve ser header.payload.signature. Confirme se você copiou o token inteiro e se os pontos não foram removidos.
  • O decodificador informa que um segmento não é base64url válido ou não é JSON válido. — Verifique se nenhum caractere foi perdido ou codificado em URL no caminho e se você colou o próprio token, em vez de um objeto ou aspas ao redor dele.
  • Você esperava verificação, mas a ferramenta diz que a assinatura não é checada. — Este é um decodificador, não um validador. Ele apenas lê o conteúdo do token; use uma biblioteca de assinatura ou verificação para confirmar a autenticidade.
  • Um token aparece como Expirado mesmo parecendo recente. — A claim exp está em segundos UTC e é comparada com o horário atual. Confira a data UTC exibida em relação ao seu relógio e fuso horário locais.

Perguntas frequentes

O que é um decodificador JWT e o que ele mostra?
Um decodificador JWT lê um JSON Web Token e revela seu conteúdo. Este decodificador formata o cabeçalho e o payload completos e destaca as claims de tempo padrão exp, iat e nbf como datas UTC legíveis, com selos de status.
Como decodifico um JWT com o prefixo Bearer?
Basta colar o valor inteiro do cabeçalho Authorization. O Decodificador JWT remove automaticamente o prefixo 'Bearer ' inicial antes de decodificar, então você não precisa cortá-lo primeiro.
O Decodificador JWT verifica a assinatura do token?
Não. Ele apenas decodifica e exibe o cabeçalho, o payload e as claims. Ele nunca verifica a assinatura, então a decodificação sozinha nunca prova que um token é autêntico.
Por que meu token aparece como Ainda não válido no Decodificador JWT?
Ele tem uma claim nbf (not before) com um horário ainda no futuro, então o token ainda não está ativo. O selo é atualizado assim que esse horário passa.
Meu token é enviado para algum lugar quando uso o Decodificador JWT?
Não. O Decodificador JWT roda inteiramente no seu navegador e o token que você cola nunca sai do seu dispositivo, e nada é enviado a um servidor.

Ferramentas relacionadas

Mais ferramentas de Segurança

  • Gerador de hash — SHA-256 / SHA-1 / SHA-384 / SHA-512 via Web Crypto API.
  • Gerador de senhas — Gere senhas fortes e aleatórias com um medidor de força (cripto-seguro).
  • Gerador de chaves SSH — Gere pares de chaves SSH Ed25519, RSA ou ECDSA no seu navegador e baixe-as.
  • Conversor PPK ↔ PEM — Converta chaves SSH privadas entre PuTTY .ppk e OpenSSH/PEM (RSA e Ed25519), localmente no seu navegador.
  • Gerador de TOTP / 2FA — Gere senhas de uso único baseadas em tempo (códigos 2FA) a partir de um segredo base32.
  • Assinador de JWT — Crie e assine um JWT (HS256/384/512) a partir de um payload e um segredo — Web Crypto.
  • Gerador de Basic Auth — Gere e decodifique cabeçalhos de autorização HTTP Basic Auth a partir de um usuário e uma senha.
  • Verificador de Certificado e Chave — Verifique se um certificado SSL e uma chave privada formam um par, com fingerprints da chave pública.
  • Extrator PFX para PEM — Abra um arquivo .pfx/.p12 protegido por senha e divida-o em blocos PEM de certificado, cadeia e chave.
  • Gerador de Bcrypt — Faça o hash de uma senha com bcrypt em um custo escolhido, ou verifique-a contra um hash, no navegador.
  • Gerador de HMAC — Assine uma mensagem com uma chave secreta usando SHA-256, SHA-1, SHA-384 ou SHA-512, no navegador.
  • Força de Senha — Teste a força de uma senha, sua entropia e o tempo estimado para quebrá-la, no navegador.

Ver todas as ferramentas de Segurança (27) · Todas as ferramentas