Decodificador de JWT
Leia o cabeçalho e o payload de um token sem enviá-lo a lugar nenhum.
- Executa no seu navegador — seu texto nunca é enviado a lugar nenhum
- Sem cadastro, sem cotas, grátis para usar quantas vezes quiser
Como funciona
Colar um JWT em um site é um péssimo hábito: um token ativo é uma credencial, e você acabou de entregá-lo a terceiros. Aqui ele é decodificado na página, então o token nunca sai da sua máquina.
O que um JWT contém
Três segmentos Base64URL separados por pontos: um cabeçalho que nomeia o algoritmo, um payload de claims e uma assinatura. Os dois primeiros são codificados, não criptografados — qualquer pessoa com o token pode lê-los.
Verificar a assinatura não é decodificar
Isto mostra o que o token diz. Não verifica se a assinatura é válida, porque isso exige o segredo de assinatura ou a chave pública. Um token decodificado não prova nada sobre autenticidade.
Expiração
Quando o payload traz uma claim de expiração, ela é exibida como uma data legível e sinalizada se já passou — geralmente o que você queria descobrir.
Decodificador de JWT — perguntas
Isto verifica a assinatura?
Não. A verificação precisa da chave de assinatura. Isto apenas decodifica e exibe o conteúdo.
Meu token é enviado a um servidor?
Não, e esse é o ponto. Um token ativo é uma credencial e não deve ser colado em um serviço remoto.
Por que qualquer pessoa pode ler um JWT?
O cabeçalho e o payload são codificados em Base64, não criptografados. A assinatura impede adulteração, não leitura.