Decodificador JWT

O que é um JWT?

// Decode a JWT in the browser — header & payload only
function decodeJwt(token) {
  const [h, p, s] = token.split('.');
  const pad = (seg) => seg + '==='.slice((seg.length + 3) % 4);
  const decode = (seg) => JSON.parse(
    atob(pad(seg).replace(/-/g, '+').replace(/_/g, '/'))
  );
  return { header: decode(h), payload: decode(p), signature: s };
}

const { header, payload } = decodeJwt(token);
console.log(header);   // → { alg: 'HS256', typ: 'JWT' }
console.log(payload);  // → { sub: 'user_123', exp: 1999999999, ... }

// Expiration check
const expired = payload.exp * 1000 < Date.now();

Recursos principais

Exemplos

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyXzEyMyIsIm5hbWUiOiJBbGljZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTcxNTAwMDAwMCwiZXhwIjoxOTk5OTk5OTk5fQ.4NhxPjwoZxPNuxG-2C5ugGxaUsUJ0QyskAz7Ymz5Sg0

{
  "alg": "HS256",
  "typ": "JWT"
}

{
  "sub": "user_123",
  "name": "Alice",
  "role": "admin",
  "iat": 1715000000,
  "exp": 1999999999
}

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6ImtleS0yMDI1LTAxIn0.eyJpc3MiOiJodHRwczovL2F1dGguZXhhbXBsZS5jb20iLCJhdWQiOiJhcGkuZXhhbXBsZS5jb20iLCJzdWIiOiI5MDA4NzE2NSIsImlhdCI6MTYwMDAwMDAwMCwiZXhwIjoxNjAwMDAzNjAwLCJzY29wZSI6InJlYWQ6dXNlciB3cml0ZTpwb3N0In0.signature_placeholder

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "key-2025-01"
}

{
  "iss": "https://auth.example.com",
  "aud": "api.example.com",
  "sub": "90087165",
  "iat": 1600000000,
  "exp": 1600003600,
  "scope": "read:user write:post"
}

eyJhbGciOiJFUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2FjY291bnRzLmdvb2dsZS5jb20iLCJzdWIiOiIxMTA1MDIyNTExNTU4OTkwNzY2Mzk1IiwiYXpwIjoiY2xpZW50LWlkIiwiYXVkIjoiY2xpZW50LWlkIiwiZW1haWwiOiJhbGljZUBleGFtcGxlLmNvbSIsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJpYXQiOjE3MTUwMDAwMDAsImV4cCI6MTk5OTk5OTk5OSwibm9uY2UiOiJhYmMxMjMifQ.signature

{
  "alg": "ES256",
  "typ": "JWT"
}

{
  "iss": "https://accounts.google.com",
  "sub": "110502251155899076639",
  "azp": "client-id",
  "aud": "client-id",
  "email": "alice@example.com",
  "email_verified": true,
  "iat": 1715000000,
  "exp": 1999999999,
  "nonce": "abc123"
}

eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJkZWJ1Zy11c2VyIiwiaWF0IjoxNzE1MDAwMDAwfQ.

{
  "alg": "none",
  "typ": "JWT"
}

{
  "sub": "debug-user",
  "iat": 1715000000
}

Como usar

1. 1

   Cole seu JWT para decodificar

   Cole o token completo para decodificar — incluindo os três segmentos separados por pontos — na caixa de entrada. O decodificador é executado instantaneamente no seu navegador; você não precisa clicar em um botão.

2. 2

   Leia o cabeçalho, carga útil e status decodificados

   Leia o algoritmo e o tipo de token no cabeçalho decodificado, as reivindicações na carga útil decodificada e os chips de expiração / emissão no topo. Um token expirado é sinalizado em vermelho.

3. 3

   Copie a saída decodificada

   Use o botão Copiar em cada painel para copiar o JSON do cabeçalho decodificado, o JSON da carga útil decodificada ou a assinatura bruta. Seu token nunca foi enviado a lugar nenhum — a decodificação aconteceu localmente no seu navegador.

Common Errors

jwt.verify(token, secret)  // library default may allow 'none'

jwt.verify(token, secret, { algorithms: ['RS256'] })

{ "sub": "user_123", "role": "admin" }  // no exp

{ "sub": "user_123", "role": "admin", "exp": 1715003600 }

{ "sub": "user_123", "password": "hunter2" }

{ "sub": "user_123", "role": "admin" }  // payload stays minimal

Casos de uso comuns

Decodifique tokens Authorization Bearer

Decodifique tokens JWT de cabeçalhos Authorization: Bearer para verificar as reivindicações, a audiência e a expiração que seu backend está recebendo.

Decodifique tokens OAuth 2.0 e OIDC

Decodifique tokens de acesso e tokens de ID retornados por servidores de autorização (Auth0, Okta, Google, Keycloak) durante a integração OAuth 2.0 e OpenID Connect.

Diagnóstico de sessão expirada

Confirme em um segundo se um token rejeitado está expirado, usa a audiência errada ou tem problema de diferença de relógio.

Verificação de rotação de chaves

Leia o kid (ID da chave) no cabeçalho para verificar se a rotação do seu JWKS está emitindo tokens assinados com a chave esperada.

Revisões de segurança

Identifique tokens assinados com alg:none, sem exp, ou que vazam PII na carga útil durante revisão de código e pentesting.

Inspeção de tokens entre microsserviços

Decodifique tokens entre serviços dentro de uma mesh para ver quais escopos e sujeito uma chamada downstream está autorizando.

Detalhes técnicos

Conforme a RFC 7519

Lida com tokens JWS em conformidade com RFC 7519 (JWT), RFC 7515 (JWS) e RFC 7518 (JWA) — todos os algoritmos registrados são suportados para decodificação.

Decodificação Base64URL

Usa o alfabeto Base64 seguro para URL (- e _ em vez de + e /) definido na RFC 4648, com parsing tolerante a preenchimento.

Nativo do navegador, zero dependências

Construído sobre atob, TextDecoder e JSON.parse do navegador — sem bibliotecas externas, sem chamadas de rede, sem telemetria.

Melhores práticas

Nunca confie sem verificar

Um decodificador mostra reivindicações; ele não as prova. Sempre verifique a assinatura no servidor contra a chave do emissor antes de confiar em qualquer reivindicação.

Rejeite alg:none em produção

Configure sua biblioteca JWT com uma lista explícita de algoritmos permitidos. Nunca aceite alg:none e desconfie de incompatibilidades de alg na rotação de chaves.

Mantenha as cargas úteis enxutas

Coloque identificadores e reivindicações de vida curta no JWT; mantenha dados volumosos atrás de um ID de sessão opaco. Tokens grandes custam largura de banda em cada requisição.

Perguntas frequentes