Decodificador de JWT

Lendo as claims

Um JWT tem três partes em Base64URL separadas por pontos: um header que indica o algoritmo de assinatura, um payload de claims e uma assinatura. As claims padrão são iss (quem emitiu), sub (sobre quem é), aud (para quem é) e exp, iat e nbf (quando expira, foi emitido e se torna válido). Os tempos são em segundos Unix; o conversor de timestamp os mostra como datas.

Decodificar não é verificar

Qualquer pessoa pode criar um token com quaisquer claims, então lê‑las não prova nada. O serviço que recebe deve verificar a assinatura com a chave correta, rejeitar alg: none e conferir a expiração, o emissor e a audiência. Para tokens assinados com um segredo compartilhado, o verificador de JWT checa a assinatura.

O payload é apenas codificado, não criptografado: qualquer um que tiver o token pode lê‑lo. Nunca coloque senhas ou dados pessoais nas claims de um JWT.

Como usar

1. Cole um JWT com três segmentos.
2. Escolha Decodificar token.
3. Confira o cabeçalho, as claims e o comprimento da assinatura.

Privacidade e limitações

O token fica no seu navegador. Evite colar credenciais ativas em qualquer ferramenta; decodificar não comprova autenticidade.