Decodificador JWT e depurador: decodifique e verifique tokens online

Sim. O decodificador JWT e depurador funciona diretamente nesta página, no seu navegador, sem conta, sem login e sem instalação.

Não. A decodificação, a assinatura e a verificação da assinatura acontecem exclusivamente no seu navegador, com criptografia pela Web Crypto API. O token, o secret e a chave pública não são enviados. Ainda assim, JWTs reais costumam conter credenciais de sessão ou de API; para testar, é melhor usar tokens de teste.

Sim. Um JWT não é criptografado: o Header e o Payload são apenas codificados em Base64URL e podem ser lidos por qualquer pessoa. O secret ou a chave pública só é necessário para verificar a assinatura e, no caso de HS256, HS384 e HS512, para assinar novamente. Portanto, decodificar não prova que um token é autêntico; só a verificação da assinatura faz isso.

Para HS256, HS384 e HS512, insira o secret. Se o Header indicar RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384 ou ES512, aparecerá um campo para a chave pública em formato PEM “BEGIN PUBLIC KEY” (SPKI). A ferramenta não aceita RSA PUBLIC KEY (PKCS#1) nem certificados. O resultado aparecerá acima como “Válido” ou “Inválido”; sem secret ou chave, como “Não verificado”. A ferramenta não verifica outros algoritmos.

Se o Payload contiver exp, iat ou nbf como números, a ferramenta exibirá essas claims acima do Payload como datas em UTC. Para exp, também mostra quanto tempo falta para o token expirar ou há quanto tempo expirou; um exp vencido é destacado em vermelho. Se nbf estiver no futuro, você verá a partir de quando o token será válido.

Sim. Edite o Header ou o Payload diretamente, como exp, funções ou claims personalizadas, ou escolha outro algoritmo. Assim que você fizer uma alteração, um novo token assinado com seu secret será gerado em tempo real no campo “Encoded (JWT)”. A assinatura só funciona com HS256, HS384 e HS512: os algoritmos RS, PS e ES exigiriam uma chave privada, que a ferramenta não usa.

Copie apenas a parte após “Bearer ” e cole-a. O prefixo não é removido automaticamente, e um JWT deve ter exatamente três partes separadas por pontos (Header.Payload.Assinatura). Com o prefixo, o Header não pode ser lido e a ferramenta mostra uma mensagem de erro.

Um JWT consiste em três partes codificadas em Base64URL, separadas por pontos: Header (por exemplo, alg e typ), Payload com as claims e assinatura. O exemplo preenchido mostra a estrutura: um token HS256 com sub, name e iat, verificado como “Válido” com o secret de exemplo.