🔓 Decodificador de JWT

O decodificador de JWT abre um JSON Web Token e mostra o que há dentro dele, sem instalar nada. Cole o token para ver o header e o payload em JSON identado, além da assinatura. Útil para quem trabalha com autenticação, APIs e integrações e precisa conferir quais claims o token carrega, qual algoritmo usa e quando expira.

Como usar

1. Copie o token JWT da sua aplicação, do cabeçalho Authorization ou de onde ele estiver salvo.
2. Cole o token completo no campo acima. Ele costuma começar com eyJ e ter duas ou três partes separadas por ponto.
3. Clique em Decodificar. O header e o payload aparecem na hora em JSON formatado, junto com a assinatura.
4. Use o botão Copiar em cada bloco para reaproveitar o JSON, ou clique em Usar exemplo se quiser ver como funciona antes de colar o seu token.

Se o token estiver incompleto ou fora do formato, a ferramenta aponta onde está o problema, por exemplo, número de partes errado ou trecho que não é base64url válido.

Como funciona

Um JWT é formado por três partes unidas por pontos, no formato header.payload.assinatura. As duas primeiras partes são apenas objetos JSON codificados em base64url, não são criptografados. Por isso, qualquer pessoa consegue decodificar e ler o conteúdo sem a chave secreta; o que a chave protege é a integridade, não o sigilo dos dados.

• Header: informa o algoritmo de assinatura (alg, como HS256 ou RS256) e o tipo do token (typ).
• Payload: guarda as claims, os dados do token, como sub (identificação do usuário), name, iat (data de emissão) e exp (data de expiração).
• Assinatura: é o resultado do algoritmo aplicado sobre header e payload usando a chave do emissor. Serve para provar que o token não foi adulterado.

A ferramenta decodifica header e payload no seu navegador, converte o base64url de volta em texto UTF-8 e exibe o JSON identado. Também reconhece as datas iat, nbf e exp, mostra cada uma em formato legível e avisa quando o token já expirou. Tudo acontece no seu dispositivo: nenhum dado do token é enviado para servidores.

Exemplos rápidos

Como o header e o payload são apenas texto em base64url, cada trecho de um JWT corresponde a um JSON exato. Veja algumas decodificações reais (o que você cola à esquerda, o que aparece à direita):

• eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 → {"alg":"HS256","typ":"JWT"}
• eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9 → {"alg":"RS256","typ":"JWT"}
• eyJhZG1pbiI6dHJ1ZX0 → {"admin":true}
• eyJyb2xlIjoiYWRtaW4iLCJleHAiOjE3NDg3MzMwMjJ9 → {"role":"admin","exp":1748733022}
• eyJ1c2VySWQiOjQyLCJlbWFpbCI6ImpvYW9AZXhlbXBsby5jb20ifQ → {"userId":42,"email":"joao@exemplo.com"}
• eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ → {"sub":"1234567890","name":"John Doe","iat":1516239022}

As datas dentro do payload são Unix timestamps (segundos desde 1970). Por exemplo: iat 1516239022 = 18/01/2018 às 01:30:22 (UTC) e exp 1748733022 = 31/05/2025 às 23:10:22 (UTC). A ferramenta converte esses números para data e hora legível no seu fuso automaticamente.

Exemplos e dicas

Um exemplo comum de payload é algo como { "sub": "1234567890", "name": "João da Silva", "iat": 1516239022, "exp": 1748733022 }. Ao decodificar, você vê o usuário, a data em que o token foi gerado e o momento em que ele deixa de valer. Se o exp já passou, a ferramenta sinaliza que o token está expirado, uma verificação rápida quando uma requisição volta com erro 401.

Dica de segurança: como o payload não é criptografado, nunca coloque senhas, números de cartão ou outros dados sensíveis dentro de um JWT. E evite colar tokens de produção em computadores ou redes públicas, mesmo em ferramentas que rodam localmente.

Perguntas frequentes