Codificador e decodificador JWT

    Decodifique tokens JWT (JSON Web Tokens) instantaneamente no navegador. Visualize header, payload e datas de expiração sem expor suas credenciais.

    O cabeçalho aparecerá aqui...
    O payload aparecerá aqui...

    Permanece no seu dispositivo. Todo o processamento acontece no seu navegador. Seus textos nunca são enviados aos nossos servidores.

    Como usar

    Siga estes passos simples para obter os melhores resultados.

    1Decodifique um token. Cole seu JWT para decompor instantaneamente o Cabeçalho (Header) e a Carga Útil (Payload) em JSON legível.
    2Inspecione as declarações (claims). Verifique o campo 'exp' para conferir a validade temporal ou 'sub' para identificar o usuário.
    3Verifique a assinatura. Insira sua chave secreta para validar se o token é autêntico através de cálculos criptográficos locais.
    4Gere um novo token. Use a aba Codificador para criar um JWT assinado para testes de desenvolvimento local.
    5Copie com facilidade. Copie o cabeçalho, o payload ou o token completo para ferramentas como Postman e curl.

    Perguntas frequentes

    Tire suas dúvidas sobre o funcionamento desta ferramenta.

    Um JWT (JSON Web Token) é como uma credencial digital padronizada (RFC 7519) para transmitir informações com segurança entre um cliente e um servidor. Ele é composto por três partes divididas por pontos: Cabeçalho (Header), Carga Útil (Payload) e Assinatura (Signature).

    Decodificar é apenas converter a codificação Base64URL em texto legível, acessível por qualquer pessoa sem necessidade de senha. Verificar, por outro lado, significa recalcular a assinatura criptográfica usando a chave secreta para comprovar que o token não foi alterado por terceiros.

    Sim, com total confidencialidade. Todo o processo de decodificação e validação é realizado no lado do cliente no seu navegador. Não transmitimos nem salvamos seus tokens ou senhas em servidores.

    Atualmente oferecemos suporte ao HS256 (HMAC com SHA-256), o padrão mais comum em autenticação de aplicações web que utiliza uma chave simétrica secreta.

    Sim. O cabeçalho e a carga útil de um JWT são codificados em Base64URL e não criptografados. A chave secreta é exigida exclusivamente para validar a assinatura, razão pela qual dados sensíveis como senhas não devem ser colocados no payload.

    São chamadas de 'claims' (declarações padronizadas): 'sub' indica o sujeito/usuário, 'iat' marca o momento de emissão (Issued At) e 'exp' define o instante de expiração da sessão em formato de tempo Unix.

    Geralmente ocorre por divergência na chave secreta (espaços extras), algoritmo incorreto ou alteração de qualquer caractere no cabeçalho ou payload do token.

    Geralmente o token é transmitido no cabeçalho HTTP 'Authorization' com o prefixo 'Bearer' (ex.: 'Authorization: Bearer <token>'). O servidor valida a assinatura e autoriza o acesso do usuário.

    Como funciona?

    Entenda a metodologia, fórmulas e conceitos por trás desta ferramenta.

    Desvende Seus Tokens: Domine Decodificação e Verificação de JWT

    Tokens Web JSON (JWTs) são os cartões de identificação da internet moderna, mas parecem sequências incompreensíveis à primeira vista. Nosso Decodificador e Codificador de JWT é uma ferramenta gratuita que permite inspecionar essas cadeias com facilidade: cole um token para ler seu conteúdo instantaneamente, verificar sua assinatura criptográfica ou criar tokens de teste para seu ambiente local.

    A Estrutura em Três Partes de um JWT

    Cada JWT é formado por três blocos de dados codificados em Base64URL e unidos por pontos:

    1. Cabeçalho (Header): Informa o tipo de token e o algoritmo de assinatura empregado (como HS256).
    2. Carga Útil (Payload): Onde residem os dados reais (claims), como identificador do usuário, permissões e prazo de validade.
    3. Assinatura (Signature): O selo criptográfico que comprova que as informações não foram adulteradas após a emissão.

    Decodificar vs. Verificar: Conheça a Diferença

    Esta é a premissa fundamental no uso de JWTs: qualquer pessoa pode decodificar um token, mas apenas quem detém a chave secreta pode verificar sua autenticidade.

    • Decodificar: É apenas descompactar os dados do formato Base64URL. Nenhuma chave secreta é necessária para visualizar o conteúdo.
    • Verificar: É a validação matemática da assinatura. O sistema recalcula o hash para garantir que ninguém alterou privilégios de acesso ou dados de usuário.

    Dica de Segurança: Nunca confie em informações de um JWT em produção antes de validar rigorosamente sua assinatura digital.

    Declarações (Claims) Mais Frequentes

    DeclaraçãoSignificado
    subSujeito (geralmente o identificador do usuário)
    issEmissor (servidor ou autoridade que criou o token)
    expExpiração (momento Unix no qual o token perde a validade)
    iatEmitido em (momento Unix em que o token foi gerado)
    audAudiência (destinatários previstos para o token)

    Depuração Prática com JWTs

    Resolução de Erros 401 Unauthorized: Se sua API rejeita requisições, inspecione o campo exp para checar se a sessão não expirou antes do esperado.

    Desenvolvimento Local Sem Servidor de Auth: Ao criar novos endpoints protegidos, utilize nossa aba Codificador para gerar tokens com diferentes papéis de usuário e assinar com sua chave local.

    Auditorias de Segurança: Verifique se sua aplicação não está expondo acidentalmente dados confidenciais (como senhas ou números de cartão) no payload.

    Privado e Seguro

    Segurança máxima: todo o processamento, checagem criptográfica e codificação rodam exclusivamente no seu navegador. Nenhuma chave ou token é enviado para servidores externos.

    Última atualização:

    Ferramentas para desenvolvedores relacionadas

    Explore outras calculadoras e utilitários para acelerar seu trabalho.

    Codificador e decodificador Base64

    Codifique e decodifique textos em Base64 com suporte a UTF-8 no navegador.

    Formatador JSON

    Formate, valide, idente e compacte código JSON com detecção de erros.

    Conversor de timestamp Unix

    Converta timestamps Unix para datas legíveis e época Epoch na hora.

    Gerador de hashes

    Gere hashes criptográficos MD5, SHA-1, SHA-256 e SHA-512 no navegador.