Entrada
Preparando seu ambiente de trabalho…
Como usar
- Cole um token de três partes, com ou sem o prefixo Bearer.
- Confira o JSON decodificado e as datas dos claims.
- Copie uma seção JSON ou baixe os dados decodificados.
O que a decodificação JWT revela
Header e payload de um token JWS compacto contêm dados Base64url. A decodificação torna esses dados legíveis sem obter uma chave de assinatura.
Claims legíveis não provam autenticidade. Use os campos para investigar estrutura e horários e valide confiança e requisitos da aplicação no sistema que consome o token.
Ler as partes do token
O header pode identificar o algoritmo declarado, e o payload contém claims. O segmento da assinatura continua codificado; exibi-lo não estabelece quem assinou.
Claims NumericDate como exp, nbf e iat são exibidos em UTC e na hora local do navegador. Indicadores de expiração comparam datas, sem validar a confiança no token.
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJkZXYtMTIzIiwibmFtZSI6IkFkYSIsInJvbGUiOiJkZXZlbG9wZXIiLCJpYXQiOjE3NjcyMjU2MDAsImV4cCI6MTc5ODc2MTYwMH0.ZGVtby1zaWduYXR1cmU{"sub":"dev-123","name":"Ada","role":"developer","iat":1767225600,"exp":1798761600}Apenas dados de exemplo. Valores, autenticação e comportamento do endpoint devem ser verificados no seu próprio contexto.
Formatos e verificação
Tokens JWE criptografados de cinco partes estão fora deste decodificador. Ele não busca chaves, não contata o emissor nem verifica assinaturas, mesmo com um algoritmo conhecido no header.
Exportar dados decodificados
Copiar exporta o JSON de header ou payload escolhido; Baixar JSON inclui as seções e a assinatura codificada. Trate os claims exportados com o mesmo cuidado do token original.
Ferramentas locais aceitam até 1 MiB, URLs de até 64 KiB e têm limite de processamento de 5 segundos. Solicitações API aceitam 100 headers e 100 linhas de parâmetros, timeout de 1–120 segundos e até 5 MiB de dados de resposta recebidos. Prévias longas de texto são abreviadas. As solicitações vão diretamente ao endpoint escolhido; CORS e políticas do navegador se aplicam.
Perguntas frequentes
Decodificar verifica a assinatura?
Não. Um token alterado ou não confiável ainda pode decodificar. A aplicação consumidora deve verificar a assinatura e os claims que exige.
O que significam exp, nbf e iat?
São NumericDate em segundos Unix: expiração, início de validade e emissão. As datas ajudam na investigação, não são um veredito de validação.
Posso colar o valor de um header Bearer?
Sim. O prefixo Bearer antes do token compacto é aceito.
Isso descriptografa um JWT criptografado?
Não. Tokens JWE de cinco partes exigem descriptografia e não são suportados por este decodificador JWS de três partes.
O token é enviado ao emissor ou ao DevToolsy?
Não. A decodificação é local, sem contatar o emissor nem solicitar chaves de assinatura.