Decodificar JWT
Leia o cabeçalho e o conteúdo de um token JWT no navegador, sem enviá-lo a nenhum servidor.
Privado: funciona no seu navegador e o que você digita nunca é enviado. Como conferir
Seus arquivos são processados aqui, no seu dispositivo
Não enviamos o conteúdo dos seus arquivos ou textos a nenhum servidor: tudo é processado na memória do navegador. Você não precisa de conta, não há limite diário e não usamos análise de visitas nem rastreadores. Cada ferramenta tem limites de tamanho para proteger a memória do dispositivo.
A conexão só é necessária para carregar o site. Depois você pode se desconectar e as ferramentas continuam funcionando (algumas pré-visualizações podem precisar de conexão). A hospedagem pode receber dados técnicos das visitas. Os favoritos guardam apenas identificadores de ferramentas neste navegador.
Como tratamos seus dados →Como usar esta ferramenta
- Cole o token completo, com as três partes.
- Decodifique e revise cabeçalho e conteúdo.
- Verifique a expiração e lembre-se de que a assinatura não é verificada.
Um exemplo que você pode verificar
Lê o conteúdo de um token JWT sem enviá-lo a nenhum servidor.
Entrada de exemplo
A sample token with a name, issue time and expiry.
Resultado esperado
The header, the JSON payload and key facts: algorithm, issue time, expiry and state.
Decodificar não valida o token. Para confiar nele, verifique a assinatura no seu servidor com a chave do emissor.
Decodificar JWTUsos e orientação prática
Um JWT (JSON Web Token) é uma cadeia com três partes separadas por pontos: cabeçalho, conteúdo e assinatura. As duas primeiras são JSON codificado em Base64URL, não criptografado, então qualquer pessoa com o token pode lê-las. Por isso um JWT não deve conter segredos como senhas. Esta ferramenta decodifica as duas partes no seu navegador e as exibe formatadas, com o algoritmo declarado e as datas de emissão e expiração em UTC.
Decodificar não é validar. A assinatura garante que o conteúdo não foi alterado e que foi emitido por quem possui a chave, mas verificá-la exige essa chave e acontece no servidor que recebe o token. Um token com assinatura incorreta é decodificado do mesmo jeito. As informações exibidas servem, portanto, para depurar e entender uma integração, não para decidir se uma requisição é confiável.
O estado indica se a data de expiração já passou segundo o relógio do seu dispositivo. Um token pode não ter expiração ou ter um início de validade futuro. Embora tudo seja processado localmente, trate tokens reais com cuidado: colá-los em um chat, em um documento compartilhado ou em um site externo pode dar acesso a quem os vir. Em caso de dúvida, use um token de teste e revogue o que foi exposto.
Ao depurar uma integração, comece pelo algoritmo e pelas datas. Um algoritmo inesperado, como none, é um sinal de alerta em qualquer sistema que receba tokens. Se um token for rejeitado, compare sua expiração com a hora do servidor, porque um relógio desajustado explica muitas falhas intermitentes. Confira também o emissor e o público-alvo, que devem coincidir com o que seu serviço espera. Ao compartilhar um exemplo em uma issue, substitua dados pessoais e a assinatura por valores fictícios: um token real, mesmo expirado, pode revelar identificadores internos.
Uma verificação prática antes de usar o resultado
Mude uma letra da assinatura do token de exemplo: ele continua decodificando, o que mostra que a ferramenta não verifica assinaturas. Mude uma letra do conteúdo e veja como muda o JSON ou aparece um erro de formato.
Opções e limites
Cole um token com as três partes separadas por pontos (o prefixo Bearer é aceito). O cabeçalho e o conteúdo são decodificados e mostram-se o algoritmo, a data de emissão, a expiração e se já expirou. A assinatura não é verificada: ler um token não prova que ele é autêntico. Tudo acontece no seu dispositivo.
Perguntas frequentes
Verifica se o token é válido?
Não. Decodificar só lê dados codificados em Base64URL. Para saber se o token é autêntico, é preciso verificar a assinatura com a chave do emissor no seu servidor.
É grátis e preciso me cadastrar?
Sim, é grátis. Você não precisa se cadastrar, criar conta nem instalar aplicativo, e não há limite diário: abra a ferramenta e use. Existem apenas limites de tamanho, que protegem a memória do dispositivo.
Meus dados são enviados a algum servidor?
Não. O que você digita ou cola é processado na memória do navegador e não é enviado a nenhum servidor. Você pode conferir na aba Rede do navegador ou desconectando-se depois de carregar a página.
Guias
Descubra as três partes de um JWT, o que significa cada data e por que decodificar um token não é o mesmo que validá-lo.
Use a aba Rede do navegador e o modo offline para ver se uma ferramenta de PDF, imagem ou vídeo envia o seu arquivo, e o que esse teste pode e não pode provar.