Go Toolstack

Decodificador de Tokens JWT

Decodifique tokens JWT, verifique permissões, prazos de validade e estrutura de claims.

Decodificador de Tokens JWT

Decodifique tokens JWT, verifique permissões, prazos de validade e estrutura de claims.

Como funciona

1
Insira ou cole seu texto
Digite ou cole seus dados ou código no espaço de trabalho.
2
Aplique o processamento
Execute a ferramenta para formatar, filtrar ou converter.
3
Copie a saída
Copie o resultado processado para a área de transferência.

Descubra mais utilitários do lado do cliente nesta categoria

Central de Ferramentas de Desenvolvedor • Fluxos de trabalho e guia de comparação

Explore todas as ferramentas de ferramentas de desenvolvedor, limites técnicos e guia de seleção.

Explorar central →
Formatador e Validador JSON

Formate, compacte e valide dados JSON com precisão de 64 bits e regras do JSON Schema (Draft-07 / 2020-12).
Codificador e Decodificador Base64

Converta texto, dados e arquivos para o formato Base64 com segurança total.
Formatador e Embelezador SQL

Organize e formate consultas SQL complexas tornando o código limpo e legível.

Guias do blog relacionados

Guias técnicos, resolução de problemas e tutoriais de melhores práticas

Central de Conhecimento e Conceitos

Decodificador de JWT, Inspeção de Tokens e Validação de Reivindicações

Tokens Web JSON (JWT - RFC 7519) consolidaram-se como o padrão de mercado para autenticação sem estado (stateless) e propagação de identidade em arquiteturas modernas de microsserviços, APIs RESTful e protocolos de autorização como OAuth 2.0 e OpenID Connect. Um token JWT é composto por três blocos codificados em Base64URL e concatenados por pontos: o cabeçalho (Header), o corpo de reivindicações (Payload) e a assinatura digital criptográfica (Signature).

Um engenheiro de segurança inspeciona um token de acesso de 420 caracteres que falhou na autorização de um endpoint de pagamentos. Ao colar a cadeia na ferramenta, o decodificador particiona as seções instantaneamente: revela um cabeçalho com algoritmo RS256, decodifica o payload estruturado exibindo a identidade do usuário (sub) e permissões (roles), e analisa a reivindicação de expiração (exp: 1758814800). O painel aponta visualmente que o token expirou há 14 minutos, explicando com clareza a recusa do gateway e convertendo os carimbos de data/hora UNIX para horário legível em tempo real.

A decodificação estrutural acontece 100% no seu navegador sem envio de credenciais pela rede. Seus segredos, tokens de acesso corporativos e dados pessoais de sessão nunca tocam em servidores de terceiros.

Arquitetura Central e Fórmula Matemática

Estrutura do Token: Base64URL(Header) . Base64URL(Payload) . Assinatura(HMAC-SHA256 ou RSA)

Formato estruturado de transferência de reivindicações conforme o RFC 7519, assinado digitalmente para garantir integridade e autenticidade de origem.

Melhores Práticas e Diretrizes Essenciais

  • Nunca armazene senhas ou dados sensíveis de usuários no Payload: O conteúdo de um JWT é apenas codificado em Base64URL, sendo perfeitamente legível por qualquer intermediário que intercepte o token.
  • Sempre valide a assinatura digital em servidores de retaguarda: Decodificar as propriedades no front-end é prático para a interface, mas a autorização real exige validação da assinatura criptográfica com chave secreta.
  • Defina tempos de expiração (exp) curtos para tokens de acesso: Mantenha a validade de tokens de acesso entre 5 e 15 minutos, utilizando Refresh Tokens rotativos para renovar a sessão com segurança.
  • Rejeite estritamente tokens com algoritmo 'none' na assinatura: Configure seus servidores para validar que o algoritmo declarado no cabeçalho corresponda exatamente ao algoritmo esperado pelo sistema.

Perguntas Frequentes (FAQ)

É possível visualizar o conteúdo de um JWT sem ter a chave secreta?
Sim. As seções Header e Payload utilizam apenas codificação Base64URL, permitindo leitura direta. A chave secreta é necessária exclusivamente para verificar ou gerar a assinatura.
O que significam as reivindicações reservadas como 'iss', 'sub' e 'iat'?
São propriedades padronizadas pelo RFC 7519: 'iss' identifica o emissor (Issuer), 'sub' identifica o usuário/entidade (Subject) e 'iat' indica o momento em que o token foi emitido (Issued At).
Qual é a diferença entre algoritmos simétricos (HS256) e assimétricos (RS256)?
O HS256 usa uma única chave secreta compartilhada para assinar e verificar o token. O RS256 usa um par de chaves: a chave privada assina o token e a chave pública verifica a assinatura.
Como a ferramenta calcula se o token está expirado?
Ela compara o valor do campo 'exp' (carimbo em segundos UNIX) contra o horário atual do relógio do seu computador em tempo real, indicando se o prazo foi ultrapassado.