Decodificador JWT
Cole um JSON Web Token para ver o header e o payload. O decodificador roda no seu navegador — o token não sai do dispositivo.
Útil para depurar APIs, inspecionar tokens de OAuth ou OpenID, ou verificar as claims de um access token.
Cabeçalho
Decoded header will appear here.
Payload
Decoded payload will appear here.
Resumo de claims
Apenas decodifica — sem verificação de assinatura
Esta ferramenta decodifica apenas o header e o payload do token. Não verifica a assinatura, porque a verificação requer o segredo ou a chave pública, e fazer isso no navegador não faz sentido — o que você cola aqui já está exposto ao usuário. Trate o resultado como informativo.
O que é um JWT?
Um JSON Web Token (RFC 7519) é uma string compacta de três seções codificadas em Base64url separadas por pontos: header.payload.signature. O header indica o algoritmo de assinatura, o payload carrega as claims, e a assinatura permite ao servidor provar que o token não foi adulterado.
Exemplos
A minimal HS256 token with a single sub claim:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.dozjgNryP4J3jVmNHl0w5N_XgL0n3I9PlFUP0THsR8U
Perguntas frequentes
Esta ferramenta verifica a assinatura?
Não. Apenas decodifica header e payload. A verificação de assinatura exige o segredo ou a chave pública e precisa acontecer em um servidor confiável, não no navegador.
Meu token é enviado para algum servidor?
Não. O decodificador roda inteiramente no seu navegador. O token é analisado localmente e nunca sai do seu dispositivo.
O que significam exp, iat e nbf?
São claims registrados padrão: iat é o instante de emissão, nbf é o «não antes de» e exp é o instante de expiração. Todos os três são timestamps Unix em segundos.
Por que meus caracteres Base64 são diferentes do Base64 comum?
JWT usa Base64url, que troca + por -, / por _ e remove o padding =. O decodificador trata isso automaticamente.