Decodificador de JWT

Cole um JWT (com ou sem o "Bearer" na frente) para ver o cabeçalho, o payload, quando ele foi emitido e quando expira. A conta é feita no seu navegador; o token não vai para nenhum servidor.

Duas pessoas programando diante de monitores com código num escritório claro — Ler o token sem confiar nele.

A assinatura NÃO é verificada. Esta página só decodifica o base64url: qualquer pessoa consegue montar um token com o conteúdo que quiser. Para confiar no token, o servidor precisa conferir a assinatura com a chave. O token não sai do seu navegador.

Token

Cole o JWT (com ou sem "Bearer")

—Cole um token.

Conteúdo

Cabeçalho

Payload

Como funciona

Um JWT (RFC 7519) tem três partes separadas por ponto: cabeçalho, payload e assinatura. As duas primeiras são JSON em base64url (RFC 4648): é só decodificar, não há criptografia.
A assinatura NÃO é verificada aqui. Conferir a assinatura exige a chave (o segredo do HS256 ou a chave pública do RS256) e é trabalho do servidor; um token decodificado não prova que é autêntico.
Datas: exp (expira), iat (emitido em) e nbf (vale a partir de) são segundos desde 01/01/1970 em UTC. Exemplo: iat 1516239022 é 18/01/2018 01:30:22 UTC. A página mostra no seu fuso e em UTC.
Status: expirado quando agora é igual ou depois do exp; ainda não vale antes do nbf. Valor com 13 dígitos ganha aviso: parece estar em milissegundos, e o padrão é segundos.
Token com 5 partes é JWE (criptografado): sem a chave não dá para ler, e a página avisa. alg "none" significa token sem assinatura: nunca deve ser aceito em produção.
O texto é lido como UTF-8, então nomes com acento (Conceição) aparecem certos.
Nada é enviado: não existe rede nesta página. Mesmo assim, não cole token de produção em ferramenta que você não conhece.

Ferramentas relacionadas

Comparar dois textos

Compare dois textos e veja linhas adicionadas, removidas e iguais, usando o algoritmo de maior subsequência comum.

Formatador e validador de JSON

Valide, formate, minifique e ordene chaves de JSON com indicação exata de erro (linha e coluna). Tudo no seu navegador, sem enviar nada.

Gerador e validador de CPF de teste

Gera CPFs que passam na conta dos dígitos verificadores, só para teste, e valida um CPF explicando o erro.