Descodificador de JWT

Descodifica qualquer JSON Web Token no teu navegador

Este descodificador JWT transforma uma cadeia opaca eyJ… em JSON legível instantaneamente. Cola um JSON Web Token e ele divide-o nos pontos, descodifica em Base64URL o cabeçalho e o payload, e apresenta-os formatados lado a lado, com a assinatura bruta em separado. É a forma mais rápida de depurar um fluxo de autenticação, inspecionar um token de uma resposta de API ou confirmar exatamente quais os claims que o teu backend está a emitir.

Cada parte do token está com código de cores — cabeçalho, payload e assinatura — para que as três secções de cabeçalho.payload.assinatura sejam facilmente distinguíveis. Não é necessária conta, não há envio para servidores e não existe limite diário de descodificações.

Lê os claims e verifica a expiração num relance

O descodificador destaca os claims registados padrão definidos na RFC 7519 — iss, sub, aud, exp, nbf, iat e jti — numa tabela clara com o significado em linguagem corrente para cada um. Os três claims de tempo são segundos de época Unix, que são fáceis de interpretar incorretamente, por isso a ferramenta converte-os para a tua data e hora local e adiciona uma indicação relativa como 'emitido há 5 minutos' ou 'expira em 59 minutos'.

O mais importante é que responde à pergunta que costumas abrir um depurador JWT para fazer: este token ainda é válido? O claim exp é verificado contra a hora atual e o token é marcado como Válido ou Expirado, respeitando também o nbf, para que possas ver de imediato se um token expirado é o motivo pelo qual um pedido está a ser rejeitado.

Verifica a assinatura — HS256, RS256 e ES256

Descodificar mostra o que um token afirma; verificar prova que podes confiar nele. Esta ferramenta é também um verificador de assinaturas JWT: lê o algoritmo do cabeçalho e verifica a assinatura localmente com a Web Crypto API do navegador. Para HS256, HS384 e HS512 forneces o segredo HMAC partilhado; para RS256, PS256 e ES256 (e as suas variantes 384/512) colas a chave pública do emissor em formato PEM.

Como a matemática corre no teu dispositivo, podes confirmar que um token é autêntico — que ninguém alterou o payload — sem enviar o token, o segredo ou a chave para qualquer servidor. Uma marca verde significa que a assinatura corresponde; uma cruz vermelha significa que o token foi alterado ou estás a usar a chave errada.

Constrói e codifica um JWT também

Precisas de ir no sentido inverso? O codificador JWT integrado permite-te criar um token de raiz. Edita o cabeçalho e o payload como JSON, escolhe um algoritmo HMAC, introduz um segredo, e ele produz um token cabeçalho.payload.assinatura corretamente assinado pronto a copiar para um pedido ou teste. Atalhos convenientes adicionam claims iat e exp atuais para que os teus tokens de teste tenham marcas de tempo realistas.

Isto torna o UtiloKit um descodificador e codificador jwt combinado — inspeciona tokens que chegam da tua API e cria novos para enviar, tudo no mesmo lugar. É o mesmo fluxo de trabalho que os programadores usam com jwt.io, mas sem envolvimento do servidor e sem necessidade de conta.

Como se compara com jwt.io, token.dev e jwtdecode.com

jwt.io é a ferramenta JWT mais reconhecida na web — criada pela Auth0, amplamente referenciada na documentação e de confiança para milhões de programadores. A sua principal limitação é a privacidade: jwt.io envia o teu token para os servidores da Auth0 em algumas configurações.

token.dev e jwtdecode.com cobrem a descodificação básica mas não suportam verificação de assinaturas RS256/ES256 com uma chave PEM, que é o algoritmo usado pela Auth0, Google, Microsoft Azure AD, Okta e a maioria dos fornecedores OIDC empresariais.

Este descodificador da UtiloKit trata de tudo isso no navegador: descodificação, verificação de expiração e verificação completa de assinaturas nas famílias de algoritmos HS/RS/PS/ES — gratuito, sem conta, sem limite diário e sem nada sair do teu dispositivo.

Segurança JWT: o que o token pode e não pode proteger

Um JWT é assinado para integridade, não cifrado para confidencialidade. Qualquer pessoa que tenha o token pode ler todos os claims no payload — a codificação Base64URL é trivialmente reversível, como este descodificador demonstra. Por isso o payload deve conter apenas identificadores não sensíveis: um ID de utilizador, papel ou email. Nunca coloca palavras-passe, dados de pagamento ou chaves de API num payload JWT.

A assinatura protege contra adulteração: se um atacante modificar mesmo um único carácter do payload, a assinatura já não corresponderá e qualquer servidor que verifique com a chave correta rejeitará o token. O clássico ataque alg: none contorna isto afirmando que nenhum algoritmo está em uso — uma vulnerabilidade conhecida (CVE-2015-9235) que qualquer biblioteca JWT de produção deve bloquear.

Mantém os tempos de vida dos tokens curtos usando exp, transmite sobre HTTPS, armazena em memória ou cookies httpOnly (não localStorage), e verifica assinaturas em cada pedido. Descodifica e inspeciona os teus tokens com esta ferramenta gratuita para confirmar que estas propriedades estão corretamente configuradas antes de implementar em produção.