Ferramentas para programadores

O canivete do dia a dia: formatar e validar JSON, espreitar o conteúdo de um JWT, codificar e descodificar Base64 e URL, converter um timestamp Unix para uma data legível, montar uma expressão Cron e gerar UUID.

Tokens, cargas úteis e chaves são processados no navegador e não são enviados para um servidor para serem descodificados ou convertidos. O navegador pode conservar a página, os recursos e preferências locais; não use um dispositivo partilhado para dados confidenciais.

Qual ferramenta usar?

• Inspecionar um token de uma API: use o JWT Decoder para ler o cabeçalho, o conteúdo e as datas. A leitura não verifica a assinatura nem confirma permissões.
• Ler texto codificado: escolha Base64 para uma entrada como T2zDoQ==, que corresponde a «Olá». Para uma entrada como Ol%C3%A1, escolha o descodificador de URL.
• Perceber uma data numérica: use o conversor de timestamp e confirme se a origem usa segundos ou milissegundos.

JWT: ler o conteúdo não verifica a assinatura

Num JWT no formato JWS de três partes, o cabeçalho e o conteúdo são codificados em Base64url: essa codificação não esconde os dados. Existem também JWT cifrados, no formato JWE, conforme o RFC 7519. O descodificador deste site lê o formato de três partes; identifica entradas de cinco partes como possível JWE e não as desencripta.

Uma assinatura presente não é uma assinatura verificada. Ver o nome de um utilizador, uma permissão ou uma data futura no resultado não prova que o token seja autêntico ou que o serviço o deva aceitar. Esta ferramenta não pede chaves nem verifica a assinatura. Para partilhar um exemplo de um problema, use dados de teste.

Base64 também não é segurança

Base64 serve para transportar dados binários por canais que só aceitam texto — anexos de email, imagens dentro de CSS, credenciais em cabeçalhos HTTP. É reversível por qualquer pessoa e sem chave. Também não comprime: o resultado fica cerca de um terço maior do que o original.

Timestamps: segundos ou milissegundos

Um timestamp Unix em segundos conta desde 1 de janeiro de 1970, às 00:00 UTC; alguns sistemas representam o mesmo instante em milissegundos. Por exemplo, 1704067200 segundos e 1704067200000 milissegundos correspondem a 1 de janeiro de 2024, às 00:00 UTC. Dez ou treze dígitos podem ajudar a reconhecer valores de datas recentes, mas não são uma regra universal: confirme a unidade na origem e o fuso horário do resultado.

Há ainda o limite de 2038, quando um contador de 32 bits com sinal transborda — motivo pelo qual sistemas antigos rebentam com datas muito para a frente.

A armadilha do Cron

Quando o dia do mês e o dia da semana estão ambos preenchidos, a maioria das implementações executa a tarefa se qualquer um dos dois bater certo, não os dois ao mesmo tempo. Uma expressão pensada para «dia 1, se for segunda» acaba a correr todos os dias 1 e todas as segundas. Deixe um dos dois com asterisco sempre que puder.

JSON válido é mais estrito do que parece

Não aceita vírgula a seguir ao último elemento, não aceita comentários, e as chaves têm de vir entre aspas duplas. Muito do que se escreve à mão é JavaScript válido e JSON inválido — e a mensagem de erro do validador diz-lhe a posição exata.