JWT Decoder
Decodifique e inspecione tokens JWT. Nenhuma validação de assinatura no servidor.
Sobre esta ferramenta
O JWT Decoder decodifica e inspeciona tokens JSON Web Token (JWT) sem precisar de nenhuma chave secreta ou chamada a servidor. JWTs são usados extensivamente em sistemas de autenticação modernos — toda vez que você faz login em uma aplicação que usa OAuth, OpenID Connect ou autenticação stateless, provavelmente recebe um JWT em resposta.
Para usar, cole o token JWT no campo de entrada. A ferramenta separa automaticamente as três partes do token — header, payload e signature — e decodifica o header e o payload em JSON legível. Você verá imediatamente informações como o algoritmo de assinatura usado, o subject (identificador do usuário), os escopos de permissão, as datas de emissão e expiração, e qualquer claim customizada que a aplicação tenha incluído.
A ferramenta também verifica se o token está expirado, comparando o campo 'exp' com o horário atual do seu dispositivo. Isso é extremamente útil durante o desenvolvimento para entender por que uma requisição está falhando com 401: muitas vezes o token simplesmente expirou.
Importante: esta ferramenta não valida a assinatura do token. Ela apenas decodifica o conteúdo público. Para validar se um token é genuíno, é necessário verificar a assinatura com a chave secreta no servidor. Nenhum dado é enviado para fora do navegador — a decodificação base64 acontece completamente no lado do cliente.
Perguntas frequentes
O JWT Decoder é gratuito?
Sim, gratuito e sem necessidade de cadastro.
Meu token JWT é enviado para algum servidor?
Não. A decodificação é feita inteiramente no navegador usando JavaScript. Seu token nunca sai do dispositivo.
Funciona no celular?
Sim. A ferramenta é responsiva e funciona em navegadores móveis modernos.
A ferramenta valida a assinatura do token?
Não. Ela decodifica e exibe o conteúdo, mas não verifica se a assinatura é válida. A validação de assinatura requer a chave secreta e deve ser feita no servidor.
Posso colar tokens de produção que contêm dados de usuários reais?
Tecnicamente sim, pois nada é transmitido. Mas como boa prática de segurança, prefira usar tokens de ambientes de desenvolvimento ou staging para inspeção.