Antes de começar
- Inspecione apenas dados autorizados e evite credenciais reais em capturas ou notas compartilhadas.
- Defina onde o valor final será armazenado antes de gerar ou copiar.
Ferramenta JWT
Decodificador JWT online
Decodifique o header e o payload de um JSON Web Token diretamente no navegador, sem enviar o token.
Trate claims JWT como exibição não confiável
Inspecione localmente, mas autorize só após validação no aplicativo.
- Mostra três segmentos, header, payload, assinatura e tempos.
- Não verifica assinatura, emissor, audiência, algoritmo ou permissão.
- Ativo compara apenas exp com relógio atual.
Tudo fica no navegador; use token de teste ou redigido quando possível.
Como gerar, conferir e inspecionar dados de segurança localmenteTrate valores gerados e decodificados como sensíveis
Confira o resultado
- Confirme que algoritmo, conjunto de caracteres, claims ou hash correspondem ao sistema que receberá o valor.
- Verifique expiração e emissor de tokens, e compare hashes apenas de bytes de origem idênticos.
Atenção ao limite: Decodificar, gerar ou calcular hash não autentica token, recupera senha nem substitui uma revisão de segurança.
Detalhes da ferramenta
Decodificador JWT online
Decodifique header e payload de JSON Web Token localmente no navegador para depurar APIs, autenticação e claims.
O que esta ferramenta faz
Este decodificador JWT separa o token em header, payload e assinatura, decodifica o JSON Base64URL e destaca claims comuns como alg, typ, iss, sub, aud, iat, nbf e exp.
Casos de uso comuns
- Inspecionar claims JWT de respostas de API ou fluxos de login
- Verificar exp, iat e nbf ao depurar problemas de validade do token
- Ler valores do header como alg, typ e kid sem enviar o token
Como os dados são tratados
A decodificação JWT roda inteiramente no navegador. O token não é enviado ao backend, e a assinatura é exibida, mas não verificada.
FAQ
A ferramenta verifica a assinatura JWT?
Não. Esta versão apenas decodifica e exibe o token; ela não verifica se a assinatura é válida.
Meu JWT é enviado ao servidor?
Não. Header e payload são decodificados localmente no navegador.
Posso decodificar tokens expirados?
Sim. O conteúdo pode ser lido e a ferramenta mostra se o exp já está no passado.