Decodificar JWT Online
Cole um token JWT para ver o header, o payload e as datas de emissão e expiração. A decodificação acontece no seu navegador: o token não é enviado para nenhum servidor.
Header
{
"alg": "HS256",
"typ": "JWT"
}Payload
{
"sub": "1234567890",
"name": "Ana Souza",
"role": "admin",
"iat": 1735689600,
"exp": 4102444800
}Datas do token (UTC)
- Emitido em (iat)
- 1 de janeiro de 2025 às 00:00:00
- Expira em (exp)
- 1 de janeiro de 2100 às 00:00:00
Assinatura
RptIC1tTd8Q3PRBCuqFtpThAPPhRsfU13zeBdYOCgx0
A assinatura não é verificada. Para isso é preciso a chave secreta ou a chave pública do emissor.
O que é JWT?
JWT (JSON Web Token) é um padrão (RFC 7519) para enviar informações assinadas entre sistemas. É muito usado em login e autenticação de APIs: depois que o usuário entra, o servidor devolve um token que o aplicativo envia no cabeçalho Authorization: Bearer de cada requisição.
As três partes de um JWT
- Header: o tipo do token e o algoritmo de assinatura, como
HS256ouRS256. - Payload: os dados (claims), como o ID do usuário (
sub), a emissão (iat) e a expiração (exp). - Assinatura: garante que o header e o payload não foram alterados.
Header e payload são apenas JSON em Base64URL, por isso qualquer pessoa consegue ler o conteúdo.
Como decodificar um JWT
- Copie o token, com ou sem o prefixo Bearer.
- Cole no campo acima. O header e o payload aparecem formatados.
- Confira as datas de emissão e expiração convertidas do timestamp Unix.
Perguntas frequentes
É seguro colar meu JWT aqui?
Sim. A decodificação acontece no seu navegador e o token não sai do seu computador. Mesmo assim, evite compartilhar tokens de produção válidos.
Decodificar um JWT verifica a assinatura?
Não. Decodificar só lê o header e o payload. Verificar a assinatura exige a chave secreta (HS256) ou a chave pública (RS256) de quem emitiu o token.
Como saber se o JWT está expirado?
Veja o campo exp do payload. Ele é um timestamp Unix em segundos, e a ferramenta mostra a data convertida e avisa se o token já expirou.
O JWT é criptografado?
Na maioria dos casos, não. O JWT comum (JWS) é só assinado, e qualquer pessoa consegue ler o conteúdo. Existe o JWE, que é criptografado, mas é bem menos usado.
O que significam iat, exp e sub?
iat é a data de emissão, exp é a data de expiração e sub é o identificador do usuário ou do sujeito do token.