Web e codificação
JWT Decodificador
Cole um Web Token JSON para ver seu cabeçalho, carga útil e declarações de tempo traduzidas em datas legíveis. A decodificação acontece inteiramente no seu navegador – o token nunca é transmitido.
- Funciona 100% no seu navegador
- Sem inscrição · Sem uploads
- Uso gratuito e ilimitado
JWT (header.payload.signature)
Exemplos: Token de demonstração HS256 · Formato do portador —⌘/Ctrl + Enter converte · solta um arquivo para carregá-lo · processado localmente
Saída decodificada
A saída é somente leitura. Use Copiar, Baixar ou Compartilhar para movê-lo.
Como usar a ferramenta JWT Decodificador
-
Cole o token
Um prefixo Bearer é aceito. Somente os dois primeiros segmentos são lidos — a assinatura é exibida, mas nunca verificada.
-
Ler cabeçalho e carga útil
Ambos são impressos como JSON. As reivindicações de tempo são traduzidas em datas UTC com horários relativos e os tokens expirados são sinalizados.
-
Verifique antes de confiar
Use as afirmações para depurar perguntas do tipo “por que meu token foi rejeitado” – distorção do relógio, público errado ou uma expiração que você não percebeu.
O que torna esta ferramenta diferente
- Cabeçalho e carga útil bem impressos com declarações de tempo em datas legíveis
- Sinalizador explícito EXPIRED/ainda válido e contagem regressiva “expira em”
- Decodificação Base64url com manipulação correta de UTF-8, portanto, nomes não ASCII estão corretos
- Funciona com tokens com prefixo ao portador; assinatura mostrada truncada
- Funciona 100% offline na guia – os tokens geralmente carregam declarações confidenciais
Privacidade por arquitetura: esta página não contém análises que recebam sua entrada e o código de conversão é executado em sua guia. Você pode se desconectar da rede após carregar e continuar trabalhando.
JWT Decodificador — perguntas frequentes
É seguro colar um JWT em um site?
Com esta ferramenta, sim para o token em si – a decodificação é puro JavaScript no seu navegador e nada é enviado para lugar nenhum. Mas trate os tokens como segredos de qualquer maneira: um JWT é uma credencial de portador, válida para quem a possui até que expire. Para tokens de produção, prefira a decodificação local em seu próprio depurador.
Isso verifica a assinatura?
Não, e nenhum decodificador sem sua chave secreta ou pública também. A decodificação apenas base64url decodifica os segmentos. A verificação requer a chave de assinatura e pertence ao seu backend ou a uma biblioteca como jose ou jsonwebtoken.
Por que meu token foi rejeitado mesmo que a decodificação funcione?
As causas comuns são: a reivindicação exp foi aprovada, o token foi emitido para um público (aud) ou emissor (iss) diferente, o relógio do servidor difere o suficiente para puxar o nbf para o futuro ou a chave de assinatura foi rotacionada. O painel de reclamações responde aos três primeiros instantaneamente.
O que significam iat, exp e nbf?
iat é emitido em, exp é o tempo de expiração e nbf é não antes. Todos os três são carimbos de data/hora Unix em segundos. Um token é válido quando nbf ≤ now < exp (quando essas declarações estão presentes).
Posso editar um token para testar verificações de função?
Você pode editar a carga útil, mas a assinatura não corresponderá mais, portanto, qualquer servidor que verifique as assinaturas irá – corretamente – rejeitá-la. Para testar, assine novamente com a chave em seu ambiente; essa é a única maneira de testar honestamente os caminhos de autenticação.
Ferramentas relacionadas
Procurando por “decodificação jwt on-line”, “decodificar token da web json”, “verificador de expiração jwt”? Você está no lugar certo - navegue por todas as 19 ferramentas.