Sobre esta ferramenta
Um JWT (RFC 7519) são três partes em Base64url separadas por pontos: um header com o algoritmo, um payload com as claims e uma assinatura. Cole um token — com ou sem "Bearer" — para ver o header e o payload formatados, uma tabela que explica cada claim (iss, sub, aud, exp, iat, nbf, jti, scope…) e as claims de tempo convertidas em datas, com um status claro: válido, expirado ou ainda não válido. Para tokens HMAC (HS256, HS384, HS512), digite o segredo para conferir a assinatura com Web Crypto; para RS256 e ES256, a ferramenta decodifica e explica que a conferência precisa da chave pública. Também avisa sobre alg "none". O token e o segredo nunca são enviados, salvos ou colocados no link.
Como usar
- 1 Cole o token (o texto depois de "Bearer" no header Authorization também funciona).
- 2 Leia o header e o payload e a tabela que explica cada claim.
- 3 Veja o status: válido, expirado ou ainda não válido, com as datas no seu fuso.
- 4 Para HS256/384/512, digite o segredo para conferir a assinatura.
Perguntas frequentes
É seguro colar um token aqui?
A decodificação roda toda no seu navegador: nada é enviado, registrado ou salvo, e o token nunca vai para a barra de endereço. Mesmo assim, trate tokens de produção como senhas — um token válido dá acesso até expirar.
Decodificar um JWT quer dizer que ele é válido?
Não. Qualquer pessoa consegue ler um JWT: o payload só é codificado, não criptografado. O servidor precisa conferir a assinatura e as claims exp, nbf, iss e aud antes de confiar nele. Esta ferramenta confere assinaturas HMAC quando você informa o segredo.
Por que ele não confere meu token RS256?
RS256 e ES256 são assinados com uma chave privada e conferidos com a chave pública do emissor (muitas vezes publicada como JWKS). A ferramenta decodifica e mostra as claims; confira a assinatura no seu servidor ou com a biblioteca do provedor.
Incorporar esta ferramenta
Adicione esta ferramenta grátis ao seu site — copie o código abaixo. Ele fica sempre atualizado.
Ferramentas para o seu site →