O que faz o decodificador de JWT?

Ele separa e decodifica as três partes de um JSON Web Token — header, payload e assinatura — e mostra o conteúdo do header e do payload como JSON legível e colorido, além do status de expiração e da assinatura.

Como funciona a decodificação?

O header e o payload de um JWT são apenas Base64URL (não criptografia). A ferramenta decodifica essas partes para JSON e as exibe. A assinatura é mantida codificada, pois é um hash criptográfico usado para verificar a integridade.

É seguro colar meu token aqui?

Sim. Toda a decodificação acontece localmente no seu navegador, em JavaScript. Nenhum token, segredo ou dado é enviado para servidores da ToolboxHub. Ainda assim, evite compartilhar tokens de produção válidos publicamente.

Como verifico a assinatura?

Para tokens assinados com HMAC (HS256, HS384 ou HS512), informe o segredo no campo correspondente: a ferramenta recalcula a assinatura localmente e indica se ela bate. Para algoritmos assimétricos (RS256, ES256 etc.), a verificação exigiria a chave pública e não é feita aqui.

Como sei se o token está expirado?

A ferramenta lê o claim exp (expiração) e o nbf (not before) do payload, converte para data/hora no seu fuso e mostra um selo indicando se o token está válido, expirado ou ainda não válido.

Quais algoritmos são suportados?

A decodificação funciona com qualquer JWT, independentemente do algoritmo. A verificação de assinatura embutida cobre os algoritmos HMAC: HS256, HS384 e HS512. Algoritmos assimétricos são decodificados, mas não verificados.

Por que o payload não é criptografado?

Um JWT padrão é assinado, não criptografado: qualquer pessoa com o token consegue ler o payload. A assinatura garante que o conteúdo não foi alterado, mas não o esconde. Por isso, nunca coloque dados sensíveis (senhas, cartões) no payload de um JWT.

Decodificador de JWT Online Grátis: Header, Payload e Assinatura

Sobre o Decodificador de JWT

Cole um JSON Web Token (JWT) e veja suas três partes decodificadas de forma estruturada e colorida: o Header (algoritmo e tipo), o Payload (claims, expiração e escopos) e a assinatura. Toda a decodificação acontece localmente no seu navegador — o token nunca é enviado para servidores. Para tokens HMAC, você pode informar o segredo e verificar a assinatura. Para gerar hashes, use nosso Gerador de Hash.

Como decodificar em 3 passos

Cole o token JWT no campo de entrada.
Veja o Header, o Payload e a assinatura decodificados automaticamente.
Confira a expiração e, se o token for HMAC, informe o segredo para validar a assinatura.

Estrutura de um JWT

Um JWT tem três partes codificadas em Base64URL e separadas por ponto: header.payload.assinatura.

Parte	Cor	Significado
Header	Vermelho	Metadados: algoritmo de assinatura (alg) e tipo (typ).
Payload	Azul	Os claims: dados sobre o usuário, permissões, emissão e expiração.
Assinatura	Verde-azulado	Garante a integridade do token; calculada sobre header e payload com uma chave secreta.

Claims registrados do JWT

Os claims abaixo são padronizados pela RFC 7519. Outros claims (personalizados) também podem aparecer no payload.

Claim	Nome	Significado
`iss`	Emissor	Quem emitiu o token (issuer).
`sub`	Assunto	Sujeito do token, geralmente o ID do usuário (subject).
`aud`	Audiência	Destinatário(s) para quem o token se destina (audience).
`exp`	Expira em	Data/hora de expiração — depois dela o token não deve ser aceito (expiration).
`nbf`	Válido a partir de	Data/hora antes da qual o token não é válido (not before).
`iat`	Emitido em	Data/hora em que o token foi emitido (issued at).
`jti`	ID do token	Identificador único do token (JWT ID).

Decodificador de JWT