O que é JWT Decoder?
O JWT Decoder analisa JSON Web Tokens em suas três partes para que você possa inspecionar o cabeçalho, as declarações do payload, o algoritmo e o segmento de assinatura. É útil para depuração de autenticação, verificação de expiração e para entender o que um token realmente contém sem enviá-lo a um servidor.
Como usar o JWT Decoder
- Cole o JWT na área de entrada.
- Analise as seções decodificadas de cabeçalho e payload.
- Inspecione declarações como exp, iss, aud, sub e campos personalizados.
- Copie os valores decodificados ou compare-os com as expectativas do seu fluxo de autenticação.
Entenda tokens JWT ▾
Exemplo
Casos de uso comuns
- Inspecione claims de token durante depuração de API e autenticação
- Verifique os valores de expiração, emissor, audience e subject sem ferramentas de backend
- Confirme qual algoritmo de assinatura e estrutura de token um sistema está usando
- Ensine como os segmentos de cabeçalho, payload e assinatura do JWT se encaixam
Por que usar esta ferramenta
- Ajuda a depurar fluxos de login, autorização de API e problemas de expiração de token.
- Torna a estrutura do JWT mais fácil de explicar para colegas e stakeholders.
- Roda localmente, então tokens colados não são enviados durante a inspeção.
Perguntas frequentes
Sim. A decodificação roda inteiramente no seu navegador, e o token nunca é enviado a um servidor. Ainda assim, evite colar tokens de produção com claims sensíveis em qualquer ferramenta pública, a menos que você tenha certeza de que ela funciona apenas no lado do cliente.
Não. A verificação da assinatura exige o segredo (HMAC) ou a chave pública (RSA/EC). Esta ferramenta apenas decodifica o cabeçalho e o payload codificados em Base64URL; a verificação deve acontecer no seu servidor.
A claim exp é um timestamp Unix que indica quando o token deixa de ser válido. Se o horário atual for posterior a esse timestamp, o servidor rejeitará o token e você precisará se autenticar novamente.
Cookies de sessão armazenam um ID de sessão no servidor e o consultam a cada requisição. JWTs são autocontidos: todas as claims estão no próprio token, então não é necessário armazenamento de sessão no servidor. Isso torna os JWTs úteis em sistemas distribuídos e sem estado.