PT-BR

Decodificar JWT: ler e verificar um JSON Web Token

Para decodificar um JWT, cole o token: a ferramenta mostra o que há em um JSON Web Token – cabeçalho, payload e assinatura, com emissor, validade e vigência em texto claro. Se você informar o segredo ou a chave pública, ela até verifica a assinatura. O token não sai do seu navegador.

Fonte: §§ 2, 4.1 (Claims, NumericDate), IETF RFC 7519 – JSON Web Token (JWT). Atualizado em: .

Cole o token; “Bearer ” na frente é aceito. Ele tem três partes separadas por pontos.

Seu texto fica no seu navegador: não é enviado, não é salvo e não aparece no endereço da página.

HS256/384/512: o segredo como texto. RS/PS/ES: chave pública em PEM (“BEGIN PUBLIC KEY”) ou JWK. A chave fica no seu navegador.
Só para HS256/384/512: o segredo é decodificado antes da verificação (comum em chaves geradas). Caso contrário, vale o texto como digitado.
Minha caixa de ferramentasSeus dados ficam salvos só neste navegador.

Resultado

Status
Formato JWT válido – algoritmo HS256
Assinatura
Válida ✓ – a assinatura confere com a chave informada.
Cabeçalho
{ "alg": "HS256", "typ": "JWT" }
Payload
{ "sub": "1234567890", "name": "Ana Souza", "iss": "https://beispiel.example", "iat": 1516239022, "exp": 4102444800 }
Datas (UTC)
Emitido (iat): 2018-01-18T01:30:22Z Expira (exp): 2100-01-01T00:00:00Z – em 73 anos
Claims conhecidos
Emissor (iss): https://beispiel.example Assunto (sub): 1234567890

Como o cálculo é feito

Um JSON Web Token (JWT) transporta declarações (claims) entre duas partes – em geral depois do login, como prova de que “este usuário está conectado”. Tem três partes separadas por pontos: cabeçalho.payload.assinatura (RFC 7519, RFC 7515).

Como decodificar um JWT

  1. Cole o token no campo de cima (com ou sem “Bearer”).
  2. Cabeçalho e payload aparecem na hora como JSON legível, com validade e emissor logo abaixo.
  3. Opcional: informe a chave em “Segredo ou chave pública” e a ferramenta verifica a assinatura.

O que há em um token

Importante: ler não é verificar

Cabeçalho e payload são apenas codificados em base64url, não criptografados. Quem vê um token pode lê-lo: senhas e outros segredos não devem ir dentro. Sem verificar a assinatura, o conteúdo não prova nada, pois qualquer um pode alterá-lo. A verificação aqui funciona com segredo HMAC (HS256/384/512) e chave pública (RS, PS, ES); um token com alg: none não é assinado.

Proteção contra algorithm confusion

Um ataque conhecido entrega ao servidor um token com alg: HS256 assinado usando a chave pública como segredo. Por isso a ferramenta recusa a verificação quando uma chave pública ou privada é informada como segredo HS (a RFC 8725 recomenda nunca tirar o algoritmo só do token).

Limites

Perguntas frequentes

O que é um JWT?

Um JSON Web Token é uma string compacta e segura para URL, com três partes (cabeçalho, payload, assinatura). Ele transporta claims como o ID do usuário ou a validade e costuma servir de prova de acesso após o login.

Qualquer pessoa pode ler o conteúdo de um JWT?

Sim. Cabeçalho e payload são apenas codificados em base64url, não criptografados. Só a assinatura protege contra alterações, não contra a leitura. Por isso não coloque segredos em um JWT.

Como verifico a assinatura de um JWT?

Em “Segredo ou chave pública”, informe o segredo para HS256/384/512, ou a chave pública em PEM ou JWK para RS256, PS256 ou ES256. O resultado aparece em “Assinatura”.

É seguro colar meu token em um decodificador online?

Este decodificador funciona inteiramente no seu navegador e não envia nada. Mesmo assim, um token válido é uma prova de acesso. Use tokens de teste ou já expirados sempre que puder.

O que significam exp, iat e nbf?

exp é o instante em que o token expira, iat o de emissão e nbf o instante a partir do qual ele vale. Os três são segundos desde 1º de janeiro de 1970 UTC.

Por que a ferramenta diz “não verificada”?

Sem chave não há com que checar a assinatura, então o conteúdo é apenas lido. Algoritmos não suportados ou formatos de chave inadequados também impedem a verificação.

Fontes e base legal

Última atualização: · Princípios editoriais

Ferramentas relacionadas