Decodificador de JWT e inspetor online grátis

Cole o token na caixa acima. Ele é dividido nos dois pontos, e as duas primeiras partes são decodificadas de Base64url para JSON. O header e o payload aparecem na hora, junto com o algoritmo e as datas exp e iat, se houver.

Sim. O header e o payload são apenas codificados em Base64url, não criptografados, então qualquer pessoa com o token pode lê-los. A chave secreta ou privada é necessária para assinar ou verificar um token, não para ler seus claims, e é por isso que tokens não devem conter senhas.

Decodificar lê os claims. Verificar recalcula a assinatura com a chave secreta (HS256) ou a chave pública (RS256, ES256) para provar que ninguém os alterou. Esta ferramenta só decodifica, então não confie em um token no seu app até que o código do servidor o verifique com uma biblioteca de JWT.

Um token válido é decodificado no seu navegador e nunca é enviado ao PixConvert. A análise de uso registra cliques como Copiar e o tempo que uma decodificação levou. Se um token estiver danificado, o texto do erro também é enviado e, no Chrome, pode citar alguns caracteres decodificados. Tokens expirados ou de teste são os mais seguros para colar.

exp é o horário de expiração em segundos desde 1º de janeiro de 1970 (tempo Unix). Este decodificador o mostra como uma data no seu fuso horário local e marca o token como Expirado assim que esse momento passa. Um token sem exp aparece como Ativo.

Ativo significa apenas que o horário de exp ainda não passou, ou que o token não tem exp. A ferramenta não verifica a assinatura, o nbf (not before), o emissor nem o público-alvo (audience), então um token forjado ou que ainda não é válido pode aparecer como Ativo. Confira esses claims por conta própria.

O decodificador precisa de exatamente três partes separadas por dois pontos. Remova a palavra Bearer e quaisquer aspas, e confira se a cópia não foi cortada. Tokens JWE criptografados têm cinco partes e não podem ser decodificados sem a chave.

Sim. A decodificação funciona igual para todos os algoritmos, e o valor de alg do header, como HS256, RS256, ES256 ou none, aparece na barra de status. Você só precisa saber o algoritmo ao verificar a assinatura no seu próprio código.

Um ID token é sempre um JWT e informa ao seu app quem fez login, com claims como sub, email e name. Um access token permite que um cliente chame uma API e pode ser um JWT ou uma string opaca. Só tokens no formato JWT podem ser decodificados aqui.

A assinatura é a saída binária de HMAC, RSA ou ECDSA, escrita como texto Base64url. Ela não tem significado legível por si só e apenas comprova que o header e o payload não foram alterados. O decodificador a exibe como texto e não a verifica.

Atualmente o decodificador lê os bytes do payload um a um em vez de como UTF-8, então José aparece como José e emojis viram símbolos estranhos. O token em si está correto. Claims em ASCII simples, como sub, iat e exp, não são afetados.