Decodificador JWT Grátis: Inspecionar Token JWT Online na Hora

A Alterar o payload quebra a assinatura. A assinatura é um hash criptográfico do cabeçalho e payload codificados, combinados com uma chave secreta. Mudar um único caractere no payload faz a assinatura não bater. Essa é a função dos JWTs — detecção de adulteração. Pense como um envelope lacrado com selo de cera. Nossa ferramenta mostra o conteúdo, mas qualquer alteração invalida o token completamente.

A O campo 'iat' (issued at) é um timestamp Unix em segundos. Se o relógio do seu sistema estiver atrasado ou adiantado por mais de alguns minutos, você verá uma data futura. A maioria dos servidores permite uma margem de 30 a 60 segundos. Verifique a sincronização do horário do seu dispositivo primeiro — essa é a causa mais comum. Nossa ferramenta converte esse timestamp em uma data legível para que você identifique discrepâncias na hora.

A Ele lida com JWTs padrão de forma confiável. Mas um token com pontos faltando, preenchimento Base64 inválido ou caracteres estranhos aciona um erro de análise claro — você vê exatamente onde quebra. Por exemplo, se o payload contém um '=' extra, a ferramenta destaca a incompatibilidade. Ótimo para depurar tokens defeituosos de APIs de terceiros. Comece com um token codificado corretamente para evitar alarmes falsos.

A Sim, com certeza. Um JWT é como uma chave digital — qualquer pessoa que o possua pode se passar pelo usuário até ele expirar. Por isso, nunca cole tokens de produção em sites aleatórios. Nossa ferramenta roda inteiramente no navegador, seu token nunca sai da sua máquina. Use HTTPS, defina expirações curtas (15 minutos ou menos) e revogue tokens no servidor. Um JWT vazado com validade de 24 horas é um grande risco de segurança.

A A declaração 'nbf' (not before) significa que o token não é válido antes daquele timestamp. Servidores rejeitam uso antecipado, comum por diferenças de relógio entre sistemas. Confira se o relógio do emissor está sincronizado via NTP. Nossa ferramenta converte esse timestamp Unix para seu fuso horário local. Se 'nbf' estiver 30 segundos à frente, aguarde antes de testar.

A Cole seu token na área de texto e clique em 'Decodificar' — os resultados aparecem no painel à direita, nunca no console do navegador. Nenhuma solicitação de rede é disparada também, então não aparecerá na aba Rede das DevTools. Um detalhe: se você copiar o token da barra de endereço, certifique-se de pegar a string completa, não uma versão truncada. Algumas URLs têm parâmetros de consulta que podem cortar a assinatura. Eu também limparia a área de transferência depois, se estiver em uma máquina compartilhada.

A Você verá um aviso claro no topo do painel de resultados, e a seção de assinatura mostrará um indicador vermelho de incompatibilidade. O header e o payload ainda decodificam normalmente, mas você não deve confiar em nenhuma dessas claims. Se estiver testando uma resposta de API e aparecer isso, o token provavelmente foi alterado no caminho ou assinado com uma chave secreta diferente. Nossa ferramenta não verifica a assinatura criptograficamente, então ela não adivinha por que elas diferem. Confira sua chave de assinatura e a string exata do token — um espaço solto ou caractere faltando costuma ser a causa.

A Provavelmente não são idênticos — um espaço no final ou um padding Base64URL diferente já basta. Uma única diferença de caractere na seção da assinatura altera a saída. No entanto, o header e o payload são decodificados de forma independente; se eles forem iguais, os claims também serão. Mas ao comparar tokens de dois logins diferentes, os campos 'iat' e 'jti' quase sempre variam. Nossa ferramenta exibe a contagem de caracteres abaixo de cada seção decodificada, facilitando a identificação da divergência. Comece comparando as strings brutas antes de suspeitar do servidor.

A Observe o campo 'exp' na seção de payload logo após colar seu token. Este registro de tempo Unix indica o segundo exato em que a sessão expira, como 1715000000. Nossa ferramenta converte automaticamente esse número para o seu horário local, dispensando cálculos manuais. Se esse prazo já passou, suas requisições trarão um erro 401. Verifique sempre este item ao depurar falhas de acesso.

A Os seus tokens nunca saem do seu navegador quando você os cola aqui. O decodificador roda totalmente no lado do cliente usando JavaScript, significando que zero dados são enviados para servidores externos. Você pode verificar isso abrindo a aba de rede do navegador enquanto decodifica um token. Desenvolvedores backend testando tokens de produção sensíveis podem usar isto com total segurança.