Conversor Gratuito
Decodificador de Token JWT
Decodifique o cabeçalho e a carga útil de um JWT (JSON Web Token) instantaneamente no seu navegador. Gratuito, privado e do lado do cliente — nenhum dado é enviado a qualquer servidor.
Decodifique o cabeçalho e a carga útil de um JWT (JSON Web Token) instantaneamente no seu navegador. Gratuito, privado e do lado do cliente — nenhum dado é enviado a qualquer servidor.
JSON Web Tokens (JWT) são um formato compacto e seguro para URL para transmissão de declarações entre duas partes, definido pela RFC 7519. Um JWT consiste em três segmentos codificados em base64url separados por pontos: cabeçalho (algoritmo e tipo de token), carga útil (declarações) e assinatura (prova criptográfica de autenticidade). O cabeçalho e a carga útil são JSON, codificados em base64url para segurança de URL; a assinatura usa um dos vários algoritmos (HS256, RS256, ES256 e outros) sobre o cabeçalho codificado e a carga útil.
A decodificação de um JWT – dividindo-o em segmentos e decodificando cada um em base64 – não requer nenhum segredo. Qualquer pessoa com o texto do token pode ler seu cabeçalho e carga útil. A assinatura, porém, só pode ser verificada com a chave secreta (HMAC) ou pública (assimétrica). A decodificação é para inspeção; a verificação é o que comprova a autenticidade.
Este decodificador divide o token, decodifica cada segmento em base64, analisa o cabeçalho e a carga útil como JSON e mostra o resultado. Ele não tenta a verificação de assinatura porque isso requer a chave secreta ou pública, que o decodificador não possui. A saída decodificada é uma inspeção somente leitura — útil para depuração de tokens, mas não um substituto para a verificação adequada no código do aplicativo.
A depuração de problemas de autenticação quase sempre envolve a inspeção de tokens. Um token que parece válido no código pode ter declarações erradas, um algoritmo inesperado, um carimbo de data/hora expirado ou incompatibilidade de público. A decodificação do token revela exatamente o que o emissor produziu.
A inspeção dos tokens durante o trabalho de integração também ajuda. Ao conectar-se a uma API ou provedor de identidade de terceiros, os nomes, formatos e estrutura reais das declarações são melhor compreendidos pela decodificação de tokens de amostra, em vez de depender de documentação que pode estar desatualizada.
Cole o token e obtenha o conteúdo analisado.
O formato JWT consiste em três segmentos unidos por pontos. Cada segmento é codificado em base64url - a variante segura de URL de base64 que usa - e _ em vez de + e /, com preenchimento às vezes omitido. A decodificação requer desfazer as substituições seguras de URL, preencher o segmento e decodificar base64.
O cabeçalho e a carga são JSON após a decodificação. O segmento de assinatura é binário (bytes de assinatura brutos) e não é legível por humanos; requer que a chave de verificação seja útil.
Declarações comuns definidas na RFC 7519: iss (emissor), sub (identificador do assunto), aud (público), exp (expiração como segundos da época Unix), nbf (carimbo de data e hora não antes), iat (carimbo de data e hora emitido em), jti (ID de token exclusivo). As declarações específicas do aplicativo podem aparecer com qualquer nome.