Decodificador JWT

Leia o cabeçalho e o payload JSON de um JWT localmente, sem enviar o token a outro serviço.

Leia o cabeçalho e o payload de um JWT no navegador. A decodificação não verifica a assinatura nem comprova a validade do token.

Resultado

Informe seus dados e execute a ferramenta. O resultado aparecerá aqui.

Os valores informados ficam nesta página. Recarregá-la ou fechá-la os apaga.

Contamos quais ferramentas são mais usadas, sem incluir os valores informados nem o conteúdo dos arquivos nas estatísticas. Privacidade

Quando usar um decodificador JWT

Use para inspecionar os campos de um token ao depurar aplicações e integrações. Um JWT assinado pode ter payload legível: codificar em base64url não é o mesmo que criptografar.

Decodificar o token passo a passo

Cole apenas o token, sem o prefixo Bearer.
Clique em Decodificar para ler os dois objetos JSON.
Compare os claims com o que a aplicação espera; para interpretar exp, use o conversor timestamp em segundos.

Como o cabeçalho e o payload são lidos

O motor exige três partes separadas por pontos. Decodifica cabeçalho e payload de base64url para UTF-8, verifica se são objetos JSON e os formata. A terceira parte não é verificada; uma assinatura vazia pode ser aceita sintaticamente.

Interpretar claims como dados não verificados

O resultado contém header e payload. Os campos são declarações do token e podem ter sido alterados. Uma data exp legível não comprova autenticidade nem autorização.

Claims declarados no payload
Campo	Significado geral
sub	Identificador do sujeito
exp	Expiração declarada em segundos Unix
iss / aud	Emissor e destinatário previstos

Exemplo com um token de demonstração

Token sem assinatura para entender o formato

Dados de entrada: eyJhbGciOiJub25lIn0.eyJzdWIiOiJkZW1vIiwiZXhwIjoxNzA0MDY3MjAwfQ.
Resultado: {"header":{"alg":"none"},"payload":{"sub":"demo","exp":1704067200}}

O exemplo usa alg=none e assinatura vazia. Mostra sub=demo e exp=1704067200, correspondente a 1º de janeiro de 2024 às 00:00 UTC. O decodificador exibe o valor sem decidir se o token expirou.

Limites e verificações não realizadas

O limite é de 16.000 caracteres. JWE criptografados de cinco partes e payloads que não sejam objetos JSON não são suportados. Os valores ficam na página até o recarregamento e não são enviados ao serviço de conversão. HTML nos claims é exibido como texto, sem execução.

Fontes e documentação

Perguntas frequentes

Um resultado legível permite autorizar o acesso?

Não. A aplicação precisa verificar assinatura, algoritmo permitido, emissor, destinatário e restrições de tempo conforme o protocolo utilizado. O decodificador não faz essas verificações.

Por que um token criptografado não abre?

Um JWE exige descriptografia e as chaves adequadas. Esta ferramenta só lê o formato compacto de três partes e não descriptografa tokens.

Decodificador JWT

Informe seus dados