🔑 Decodificador JWT
Decodifique JSON Web Tokens — veja cabeçalho, carga útil e expiração
✓ Grátis para sempre · ✓ Sem cadastro · ✓ Sem upload · ✓ Funciona offline
🔒 Seus dados nunca saem do seu dispositivo. Todo o processamento acontece localmente no seu navegador usando Decodificação Base64 JavaScript. Sem upload, sem servidor, sem rastreamento.
Recursos
- Inspeção Completa de Token — Decodifique e exiba o cabeçalho, carga útil e assinatura de qualquer token JWT.
- Verificação de Expiração — Emissão, início da validade e expiração como datas no seu fuso horário, com contagem regressiva ao vivo: válido, expirado ou ainda não válido.
- Exibição de Reclamações — Cada claim exatamente como o token escreve — IDs numéricos longos mantêm todos os dígitos e chaves repetidas são sinalizadas.
- Totalmente Offline — A decodificação acontece no seu navegador. Seus tokens nunca são enviados para nenhum servidor.
Como Funciona
- Cole seu JWT — Cole um JSON Web Token no campo de entrada.
- Inspecione as partes decodificadas — Veja o cabeçalho (algoritmo, tipo), carga útil (reclamações, timestamps) e assinatura.
- Verifique expiração — Veja se o token ainda é válido ou expirou.
Casos de Uso
- Depure problemas de autenticação inspecionando reclamações JWT
- Ver quando um token expira ou passa a valer, e quem o emitiu
- Inspecione tokens durante desenvolvimento e testes de API
- Aprenda sobre estrutura JWT examinando tokens reais
Perguntas Frequentes
Ele verifica a assinatura do JWT?
Não. Ele decodifica o token e mostra o que ele afirma; não confere a assinatura, e a página diz isso abaixo de cada token. Verificar exige o segredo ou a chave pública do emissor e deve ser feito no seu servidor — nunca confie nos claims só porque decodificaram sem erro.
É seguro colar meu JWT aqui?
O token é decodificado por JavaScript nesta aba e não é enviado a lugar nenhum nem salvo — abra a aba Rede e veja que nenhuma requisição sai quando você cola. Mesmo assim, um token ativo funciona como uma senha: use tokens de teste ou expirados quando puder.
Quais formatos de JWT são aceitos?
JWTs assinados (JWS) no formato usual de três partes header.payload.signature, incluindo tokens sem assinatura com alg "none". Você pode colar uma linha inteira "Authorization: Bearer …", uma string entre aspas ou um token quebrado em várias linhas — o que sobra é removido e indicado. Tokens criptografados (JWE, cinco partes) não podem ser lidos sem a chave do destinatário; a página avisa quando você cola um.
Por que aparece 12345678901234567890 se outro decodificador mostra 12345678901234567000?
Porque é isso que o token diz. Números em JavaScript guardam cerca de 16 dígitos, então decodificadores que analisam o JSON e o imprimem de novo mudam IDs longos sem avisar, transformam 1.10 em 1.1 e descartam uma chave repetida. Este mostra o texto do próprio token, só com nova indentação.
O que significam iat, nbf e exp?
Emitido em, não antes de e expira: segundos desde 1º de janeiro de 1970 (UTC). A página mostra como datas no seu fuso horário, com contagem regressiva ao vivo. Um valor em milissegundos é sinalizado, porque as bibliotecas o leriam como uma data daqui a milhares de anos.
No blog
- 📖 How to Decode a JWT (Safely — Without Leaking It) — Decode a JWT to read its header and payload in seconds — and why pasting a live token into a random online decoder can get your session hijacked.
Ferramentas Relacionadas
- Imagem para Base64 — Transforme uma imagem em data URI Base64, ou codifique e decodifique texto em Base64 — e volte de Base64 para um arquivo
- { } Formatador e Beautifier JSON — Imprima bem, minifique e valide JSON com estatísticas
- #️⃣ Gerador de Hash — Gere hashes criptográficos de texto ou arquivos
💬 Bug, ideia, ou só um oi? Conte ao Milo 🐨 · [email protected]