Ferramenta
JWT Decoder
Leia o cabeçalho, o payload e as datas de um JWT ao colar ou editar o token. O processamento é feito apenas no navegador e não verifica a assinatura.
Introduza um token JWT para ver o respetivo conteúdo.
O que esta ferramenta lê
Cole um token com três partes separadas por pontos: o conteúdo atualiza-se automaticamente ao colar ou editar. Pode usar «Descodificar JWT» para repetir a leitura. Se o token ficar incompleto ou inválido, o resultado anterior é retirado. «Limpar» apaga o token e os resultados. A ferramenta apresenta o cabeçalho e o conteúdo em JSON e interpreta os campos de data reconhecidos. Também aceita o prefixo Bearer antes do token.
Descodificar é validar?
Não. A ferramenta lê os dados, mas não verifica a assinatura. Ver um nome de utilizador ou uma permissão no resultado não prova que o token seja autêntico. O serviço que aceita o token deve verificar a assinatura, o algoritmo permitido, o emissor, o destinatário e as condições de validade aplicáveis.
Um JWT está sempre legível?
No formato assinado de três partes, o cabeçalho e o conteúdo são codificados em Base64url, que não oculta os dados. Existem também JWT cifrados no formato JWE. Esta ferramenta identifica o formato compacto de cinco partes e não o desencripta. A distinção entre assinatura e encriptação é descrita no RFC 7519.
Como interpretar os campos?
sub identifica o sujeito, iss o emissor e aud o destinatário. Os campos iat, exp e nbf representam, respetivamente, emissão, expiração e início de validade em segundos desde a época Unix. A presença destes campos depende de quem emite o token.
Exemplo de leitura de uma data
Um conteúdo com "exp": 1704067200 indica expiração em 1 de janeiro de 2024, às 00:00 UTC. A apresentação local pode ter outra hora consoante o fuso. Pode conferir o número no conversor Unix Timestamp. Ler esta data não valida a assinatura nem confirma que o emissor seja de confiança.
É sempre necessária uma chave secreta para verificar?
Não. Algoritmos simétricos usam um segredo partilhado; algoritmos assimétricos permitem verificar com uma chave pública. Este descodificador não faz nenhuma dessas verificações e não pede chaves.
O token sai do dispositivo?
A ferramenta descodifica o token no navegador e não o envia para o servidor. Para demonstrar um problema, prefira tokens de teste: um token de produção pode dar acesso a uma sessão e não deve ser incluído em capturas de ecrã ou mensagens públicas.
Fontes e revisão
Os cálculos são verificados por testes automáticos a cada alteração do site — como é feito e verificado. Se encontrar um erro, diga-nos e é corrigido.