Inspecione cabeçalho, carga de dados (payload) e assinatura de tokens JWT, calculando prazos de validade.
{} {} -
Inspecione cabeçalho, carga de dados (payload) e assinatura de tokens JWT, calculando prazos de validade. Use no trabalho, desenvolvimento, estudo ou em verificações rápidas.
Esta ferramenta funciona no navegador. Antes de usar dados sensíveis, confirme que o dispositivo e o navegador são confiáveis.
O JWT (JSON Web Token) é o formato de credencial mais comum para autenticação de APIs. Ele tem três strings separadas por pontos. O header informa o algoritmo de assinatura (como HS256 ou RS256) e o tipo. O payload guarda claims como ID do usuário, permissões e expiração. A assinatura é calculada pelo servidor sobre as duas primeiras partes com uma chave e prova que não houve adulteração. As duas primeiras partes estão apenas codificadas em Base64URL, não criptografadas.
Cole um token e a ferramenta decodifica na hora o header e o payload em JSON formatado, mostrando a assinatura como está. Os claims de tempo mais comuns viram horário local legível: exp é a expiração, iat o momento de emissão e nbf o início da validade (antes disso o token não deve ser aceito). A ferramenta ainda usa o exp para dizer se o token expirou. É ótima para depurar fluxos de login, conferir permissões ou descobrir por que os usuários continuam sendo deslogados.
Ponto importante: decodificar não é verificar. A ferramenta não confere a assinatura com uma chave, e qualquer pessoa pode forjar um payload com cara de legítimo. O back-end precisa verificar assinatura, algoritmo e exp com uma biblioteca confiável e recusar tokens com alg igual a none. E como qualquer um lê o payload, nunca coloque senhas, CPF ou outros dados sensíveis em um JWT.
O token é uma credencial de login; colá-lo em um site desconhecido é entregar o acesso à conta. Esta ferramenta decodifica tudo no navegador e nunca envia nem registra o token. Mesmo assim, em sistemas de produção, prefira tokens expirados ou de ambiente de teste.
Um JWT típico (JWS) é assinado, não criptografado. O header e o payload estão em Base64URL e qualquer pessoa pode decodificá-los.
Não. Ela só decodifica e exibe o conteúdo. A verificação exige a chave e deve ser feita no back-end com uma biblioteca confiável.
exp é a expiração, iat o momento de emissão e nbf o início da validade. Os três são segundos Unix e aparecem aqui em horário local.
A decodificação acontece no navegador e o token não é enviado. Ainda assim, ele é uma credencial: use tokens de teste ou expirados em produção.
Ver esta categoria: Desenvolvimento e código
Codifique e decodifique textos em Base64 e URL em tempo real, com cálculo de hashes MD5 e SHA-256.
Codifique e decodifique endereços URL e parâmetros com encodeURI ou encodeURIComponent.
Gere UUID v4 ou v7 ordenados por tempo em lote com opções de formato e maiúsculas.
Embeleze, compacte, valide a sintaxe e localize erros em arquivos e dados JSON instantaneamente.
