Decodificador JWT

Decodifique e inspecione tokens web JSON instantaneamente

O Decodificador JWT é uma ferramenta online gratuita para decodificar, analisar e inspecionar tokens web JSON (JWT). Visualize instantaneamente o cabeçalho, payload, assinatura e reivindicações do token. Depure tokens de autenticação e autorização usados em OAuth 2.0, OpenID Connect e aplicações web modernas. Funciona inteiramente no seu navegador com total privacidade - nenhum token é enviado para nossos servidores.

Como usar o decodificador JWT

Decodificar tokens JWT é simples e instantâneo:

Passo 1: cole seu token JWT
Cole seu token JWT completo no campo de entrada. Os tokens JWT geralmente começam com 'eyJ' e contêm três partes separadas por pontos (cabeçalho.payload.assinatura).
Passo 2: decodificação automática
O token é decodificado e analisado automaticamente em tempo real. Não é necessário clicar em nenhum botão - os resultados aparecem instantaneamente ao colar.
Passo 3: inspecione as partes do token
Visualize o cabeçalho decodificado (algoritmo, tipo), o payload (reivindicações, expiração, emissão) e a assinatura. Cada parte é exibida em JSON formatado para fácil leitura e depuração.

Toda a decodificação e análise JWT acontece localmente no seu navegador usando JavaScript. Seus tokens nunca deixam seu dispositivo e nunca são enviados para nossos servidores, garantindo total privacidade e segurança.

form.title

Entrada de token JWT

Casos de Uso

usecases.intro

Depuração de Autenticação de API

Quando requisições de API falham devido a erros de autenticação, decodifique o JWT para verificar o tempo de expiração, emissor e reivindicações de audiência para identificar a causa raiz.

Auditoria de Segurança

Inspecione JWTs usados em sua aplicação para verificar se dados sensíveis não estão expostos no payload e se algoritmos apropriados estão sendo usados.

Desenvolvimento e Testes

Durante o desenvolvimento, verifique rapidamente se os tokens gerados contêm as reivindicações, funções e permissões corretas antes dos testes de integração.

Análise de Expiração de Token

Verifique as reivindicações 'exp' e 'iat' para entender os períodos de validade do token e solucionar problemas de timeout de sessão em sua aplicação.

Aprendendo Estrutura JWT

Estudantes e desenvolvedores novos em JWT podem visualizar a estrutura de três partes (cabeçalho, payload, assinatura) para entender melhor como funciona a autenticação baseada em token.

O que é JWT (JSON Web Token)?

JWT (JSON Web Token) é um padrão aberto (RFC 7519) para transmitir informações de forma segura entre partes como um objeto JSON. É compacto, seguro para URL e amplamente usado para autenticação e troca de informações em aplicações web modernas.

Estrutura de Três Partes

Um JWT consiste em três partes separadas por pontos: Cabeçalho (algoritmo e tipo de token), Payload (reivindicações e dados) e Assinatura (hash de verificação). Cada parte é codificada em Base64URL para transmissão segura.

Casos de Uso Comuns

JWTs são usados principalmente para autenticação (sessões de login), autorização (controle de acesso) e troca segura de informações entre serviços. São stateless, eliminando a necessidade de armazenamento de sessão no servidor.

Considerações de Segurança

Embora JWTs sejam assinados para prevenir adulteração, o payload é apenas codificado, não criptografado. Nunca armazene dados sensíveis como senhas em JWTs. Sempre verifique assinaturas no servidor e use HTTPS para transmissão.

Perguntas frequentes (FAQ)

Qual é a diferença entre decodificar e verificar um JWT?

Decodificar significa extrair e ler cabeçalho e payload do token usando decodificação Base64Url - qualquer pessoa pode fazer isso. Verificar significa verificar a assinatura para garantir que o token não foi adulterado - isso requer a chave secreta ou chave pública. Nossa ferramenta apenas decodifica tokens; a verificação de assinatura deve ser feita em seu servidor seguro.

É seguro colar meu token JWT aqui?

Nossa ferramenta processa tokens inteiramente no seu navegador - nada é enviado para servidores. No entanto, você ainda deve ser cauteloso com tokens de produção. Para máxima segurança, use apenas tokens de teste/desenvolvimento ou use esta ferramenta offline salvando a página web localmente.

Por que meu JWT começa com 'eyJ'?

Todos os JWTs começam com 'eyJ' porque o JSON do cabeçalho (tipicamente {"alg":"HS256","typ":"JWT"}) começa com '{"' que codificado em Base64Url se torna 'eyJ'. Este é um indicador confiável de que uma string é um token JWT.

Esta ferramenta pode verificar assinaturas JWT?

Não, a verificação de assinatura requer a chave secreta (algoritmos HMAC) ou chave pública (algoritmos RSA/ECDSA). Inserir essas chaves em uma ferramenta online seria um sério risco de segurança. Sempre verifique assinaturas em seus próprios servidores seguros usando bibliotecas confiáveis.

O que significa 'exp' no payload?

A reivindicação 'exp' (expiração) é um timestamp Unix indicando quando o token expira. Tokens devem ser rejeitados após este momento. Por exemplo, 'exp': 1735689600 significa que o token expira em 1º de janeiro de 2025 às 00:00:00 UTC.

Meu token tem três pontos em vez de dois. É válido?

JWTs padrão têm exatamente dois pontos separando três partes (cabeçalho.payload.assinatura). Pontos extras indicam que o token pode estar malformado, duplamente codificado ou não ser um JWT padrão. Verifique seu código de geração de token.

Posso usar esta ferramenta para tokens OAuth 2.0?

Sim! Tokens de acesso OAuth 2.0 e tokens ID (de OpenID Connect) são frequentemente JWTs. Você pode decodificá-los para visualizar informações do usuário, escopos, tempos de expiração e outras reivindicações. No entanto, alguns provedores OAuth usam tokens opacos (strings aleatórias) que não podem ser decodificados.

O que é o algoritmo 'none' e por que é perigoso?

O algoritmo 'none' significa que o token não tem assinatura. Se um servidor aceita tokens com 'alg': 'none', atacantes podem forjar tokens criando cabeçalho/payload com quaisquer reivindicações e sem assinatura. Sistemas seguros devem sempre rejeitar tokens com o algoritmo 'none'.