Decodificador de JWT online

Um JWT (JSON Web Token) é um padrão aberto para transportar informações entre duas partes de forma compacta e verificável. Ele aparece com frequência em autenticação de APIs, sessões de login e troca de dados entre serviços. O formato é uma única string dividida em três partes separadas por ponto, no estilo cabecalho.payload.assinatura.

Cada parte é codificada em Base64URL, uma variação do Base64 segura para uso em URLs. Por isso o token parece uma sequência embaralhada de caracteres, mas o conteúdo não está criptografado: qualquer pessoa consegue ler o cabeçalho e o payload apenas decodificando o texto.

Esse decodificador separa as três partes e mostra cada uma já convertida para JSON legível. Você consegue conferir rapidamente quem emitiu o token, para quem ele foi destinado e até quando vale. A assinatura permanece como referência, já que ela serve para validar a integridade, não para esconder os dados.

Todo token JWT tem uma estrutura fixa de três blocos. Entender cada um facilita a leitura do que o decodificador exibe:

1. Cabeçalho (header): informa o tipo do token e o algoritmo de assinatura, normalmente em campos como alg e typ. Um valor comum é HS256 ou RS256.
2. Payload: guarda os claims, que são as afirmações sobre o usuário ou a sessão, como identificador, permissões e datas.
3. Assinatura: combina cabeçalho e payload com uma chave secreta ou par de chaves, garantindo que o token não foi alterado no caminho.

Um exemplo visual da divisão:

O decodificador converte cabeçalho e payload de volta para JSON e mantém a assinatura intacta para consulta.

O payload reúne os claims, pequenos campos que descrevem o token. Alguns são padronizados e aparecem em quase toda implementação. Conhecê-los ajuda a interpretar o que o decodificador mostra:

• iss (issuer): quem emitiu o token.
• sub (subject): a quem o token se refere, geralmente o identificador do usuário.
• aud (audience): para qual serviço o token foi destinado.
• exp (expiration): data e hora limite de validade, em formato Unix.
• iat (issued at): momento em que o token foi gerado.
• nbf (not before): instante a partir do qual o token passa a valer.

Além desses, cada aplicação cria claims próprios, como papéis de acesso, e-mail ou plano da conta. O decodificador exibe todos eles juntos, sem filtrar nada. Os campos de data costumam vir como números grandes, então vale lembrar que exp e iat representam segundos desde 1 de janeiro de 1970. Assim você confere em segundos se um token já passou da validade.

Existe uma diferença importante entre decodificar e validar um JWT. Decodificar significa apenas converter o texto Base64URL de volta para JSON, expondo o conteúdo. Qualquer ferramenta consegue fazer isso, porque o payload não está criptografado.

Validar é confirmar que a assinatura confere com a chave correta e que o token ainda está dentro do prazo. Esse passo exige a chave secreta ou a chave pública do emissor, algo que pertence ao servidor que gerou o token. Por segurança, esse decodificador não pede nem armazena chaves.

Na prática, isso traz duas conclusões úteis. Primeiro, nunca coloque dados sensíveis no payload achando que estão protegidos, já que qualquer um pode lê-los. Segundo, a confiança em um token sempre depende da verificação da assinatura no backend, não da simples leitura. Use esta página para inspecionar e depurar o conteúdo, e deixe a validação criptográfica para o seu servidor, onde a chave fica guardada com segurança.

A decodificação acontece inteiramente no seu navegador. O token que você cola não é enviado para nenhum servidor, o que é essencial quando se trabalha com credenciais reais de produção. Mesmo assim, evite colar tokens de contas ativas em qualquer site quando puder usar exemplos.

Como o JWT usa Base64URL, entender essa codificação ajuda no dia a dia. Se você precisa converter textos manualmente, o codificador Base64 e o decodificador Base64 complementam bem esta ferramenta. Eles são úteis para inspecionar partes isoladas ou montar exemplos de teste.

Depois de decodificar o payload, o resultado é um objeto JSON. Para deixá-lo organizado, indentado e fácil de ler, vale passar pelo formatador de JSON. Esse fluxo é comum ao depurar APIs: você decodifica o token, copia o payload e formata o JSON para analisar campo por campo. Juntas, essas ferramentas cobrem boa parte do trabalho de inspeção de tokens e dados estruturados.