Decodificador de JWT grátis

Decodifique o header, o payload e os claims de um JWT localmente — com verificação opcional de assinatura HMAC. Nada sai do seu navegador.

O decodificador de JWT lê os JSON Web Tokens que suas APIs emitem e consomem — a forma compacta header.payload.signature usada por OAuth 2.0, OpenID Connect e inúmeras bibliotecas de autenticação — e os exibe como JSON legível e formatado: o header com seu algoritmo e id de chave, o payload com seus claims, e o segmento de assinatura bruto. A decodificação acontece inteiramente no seu navegador: a decodificação base64url e o parsing JSON são locais, então a ferramenta é segura até com tokens de produção que carregam identificadores reais de usuário, e-mails e detalhes de sessão — nada é enviado, registrado ou armazenado. O que este decodificador não fará é exagerar. Ele pode verificar uma assinatura HMAC quando você cola o segredo: a ferramenta calcula o HMAC com WebCrypto e informa Assinatura válida ou Assinatura inválida, para você confirmar que um token foi de fato assinado com o segredo que você tem e não foi adulterado no trânsito. Essa verificação é honesta sobre seu alcance: apenas HS256, HS384 e HS512 podem ser verificados com um segredo compartilhado no navegador. Tokens assimétricos — RS256, ES256, PS256 e seus irmãos — são a norma em produção, e verificá-los exige a chave pública do signatário, que uma ferramenta do lado cliente não pode obter por você; o decodificador diz exatamente isso em vez de adivinhar. Tokens com alg=none, a configuração famosamente insegura, são sinalizados como não protegidos, sem assinatura. Claims de expiração e emissão (exp, iat, nbf) aparecem na forma epoch bruta dentro do JSON do payload, exatamente como o token os carrega — a ferramenta não converte nem interpreta, porque conversão silenciosa é onde decodificadores mentem. Cole um token dos seus logs, do seu inspetor de rede ou dos seus testes e leia-o como o servidor leria.

Processado localmente no seu navegador