Desenvolvedor 🔒 Roda no seu navegador — nenhum dado é enviado

Decodificador de JWT

Decodifique JSON Web Tokens localmente e verifique a assinatura com seu segredo ou chave pública, sem enviar nada.

Token JWT

Segredo ou chave pública

Emissor esperado (iss) Audiência esperada (aud)

A chave é usada no seu navegador e nunca é enviada a lugar nenhum.

Decodificado

Cabeçalho

Payload

Assinatura

Assine um token seu para testar um endpoint. Tudo é calculado nesta página.

Algoritmo Expira em ID da chave (opcional)

Payload (JSON)

Chave de assinatura O segredo está em Base64

Token assinado

A chave e o token pronto ficam no seu navegador: nada é enviado a lugar nenhum e nada disso vai em um link compartilhado.

Verifique este token no seu próprio código. O trecho segue o algoritmo do cabeçalho.

Linguagem

Como Usar

1. Cole um JWT (uma string com três partes separadas por pontos) na caixa de entrada. Ele é decodificado enquanto você digita.
2. Leia o Cabeçalho e o Payload como JSON formatado, e as tabelas abaixo, onde cada campo vem com a função dele.
3. A linha acima diz se o token expirou; exp, nbf e iat aparecem como datas no seu próprio fuso horário.
4. Para conferir a assinatura, cole o segredo ou a chave pública abaixo do token e clique em “Verificar”.

Tudo roda no seu navegador; o token e a chave nunca são enviados a um servidor. As abas abaixo do decodificador acrescentam mais duas coisas: “Criar um token” assina um token seu, e “Código” mostra a verificação para oito linguagens de programação.

Perguntas Frequentes

Esta ferramenta verifica a assinatura do JWT?

Sim. Cole o segredo (para HS256, HS384 e HS512) ou a chave pública em PEM ou JWK (para os algoritmos RS, PS e ES) abaixo do token e clique em “Verificar”. A conferência usa a WebCrypto do próprio navegador, então a chave nunca sai da página. Um token que declara alg "none" é recusado de imediato, porque não traz assinatura alguma. Decodificar por si só continua não provando nada — apenas mostra o que o token afirma.

É seguro colar um JWT real aqui?

Sim — a decodificação acontece inteiramente no seu navegador usando JavaScript; o token nunca é transmitido para lugar nenhum. Mesmo assim, trate tokens de acesso/ID como sensíveis e evite colá-los em ferramentas que você não confia.

Por que consigo ler o payload sem uma chave secreta?

JWTs são assinados, não criptografados (a menos que usem explicitamente JWE). Qualquer pessoa pode decodificar o cabeçalho e o payload — a assinatura só prova que o token não foi adulterado, se você tiver a chave para verificá-la.

O que significam "exp", "iat" e "nbf"?

São claims padrão do JWT: "iat" (issued at) é quando o token foi criado, "exp" (expiration) é quando deixa de ser válido, e "nbf" (not before) é o momento mais cedo em que se torna válido. Esta ferramenta converte automaticamente esses timestamps Unix em datas legíveis.

O que fazer se eu receber um erro de decodificação?

Certifique-se de ter colado o token completo com as três partes (header.payload.signature) e que nada foi cortado ou alterado. Espaços extras ou quebras de linha também podem causar erros — tente removê-los.

Como decodifico um JWT em Python ou JavaScript?

Em JavaScript use o pacote jwt-decode: jwtDecode(token). Em Python use PyJWT: jwt.decode(token, options={"verify_signature": False}). Os dois leem o payload sem verificar; passe a chave para verificar.

Como sei quando um JWT expira?

Leia o claim exp: é um timestamp Unix em segundos. Converta com o conversor de timestamp e compare com a hora atual do servidor, não do seu notebook: uma diferença de relógio de poucos minutos é causa comum de expirações inesperadas.

Por que meu token é rejeitado se decodifica normalmente?

Confira exp contra o relógio do servidor e depois aud e iss contra o que a API espera. Uma audiência diferente é a causa mais comum de um 401 com um token aparentemente válido.

Também dá para criar um token aqui?

Sim. A aba “Criar um token”, abaixo do decodificador, assina um token com qualquer um dos doze algoritmos — HS, RS, PS e ES em três tamanhos cada. Escolha o algoritmo, edite o payload, cole o segredo compartilhado ou uma chave privada PKCS#8 e clique em “Assinar token”. A assinatura usa o WebCrypto do seu navegador, então a chave fica na página.

Decodificador JWT - decodificar um JSON Web Token online

Atualizado em 24 de setembro de 2026 · Por Saman

Cole um JSON Web Token e este decodificador o separa em três partes, exibindo o cabeçalho e o payload como JSON legível. É o caminho mais rápido para responder às perguntas que aparecem ao depurar autenticação: quem emitiu o token, para quem ele é, qual algoritmo o assinou e se ele já expirou.

A decodificação acontece inteiramente no seu navegador. Aqui isso importa mais do que na maioria das ferramentas, porque um JWT é uma credencial viva: quem capturar um token válido normalmente consegue agir como o seu sujeito até a expiração. Nada do que você colar nesta página é enviado, registrado ou armazenado.

Um JWT são três strings Base64URL unidas por pontos. O cabeçalho e o payload são JSON comum que qualquer pessoa pode decodificar, então um token nunca deve carregar segredos. Só a assinatura, verificada com a chave, mostra que o token não foi alterado.

O que é um JSON Web Token

Um JWT são três segmentos Base64URL unidos por pontos: header.payload.signature. O cabeçalho informa o algoritmo de assinatura, o payload carrega os claims - as afirmações que o emissor faz sobre o usuário ou o cliente - e a assinatura prova que as duas primeiras partes foram produzidas por quem tem a chave. Como cabeçalho e payload estão apenas codificados, e não criptografados, qualquer pessoa pode lê-los. Só a assinatura é protegida.

Como decodificar um JWT aqui

Copie o token do cabeçalho Authorization: Bearer, de um cookie, de uma URL de callback ou do seu cliente de API.
Cole a string completa header.payload.signature no campo de entrada.
Clique em Decodificar para ver os dois objetos JSON.
Se a requisição foi recusada, olhe primeiro exp e depois aud e iss.

O que mais esta página faz

O token é lido enquanto você digita, então os painéis se preenchem antes de você procurar o botão. Abaixo do cabeçalho e do payload decodificados, cada campo aparece numa tabela com a função dele em palavras simples, e uma linha acima transforma exp e nbf em frases: expirou há três dias, expira em cinquenta e oito minutos, ainda não é válido.

Exemplo carrega um token de demonstração com o segredo dele, para você ver uma verificação dar certo antes de colar algo seu.
Verificar aceita o segredo, uma chave pública PEM, um JWK avulso ou um JWKS inteiro. Cole o documento do endereço /.well-known/jwks.json do emissor e a chave indicada pelo kid do token é escolhida sozinha, então a página continua sem fazer nenhuma requisição própria. Preencha também Emissor esperado e Audiência esperada e uma assinatura válida é conferida como um servidor faria: um iss diferente, ou um aud que não contém o seu valor, deixa o resultado em vermelho.
Criar um token assina um token seu com qualquer um dos doze algoritmos — a página do gerador de JWT abre direto nessa aba.
Código mostra a verificação do lado do servidor em oito linguagens, seguindo o algoritmo do cabeçalho do seu token.
Outras duas páginas abrem esta ferramenta apontada para uma única pergunta: se expirou e por que está sendo recusado.

Os claims padrão e o que significam

Claim	Significado	Por que falha
`iss`	Emissor: quem criou o token	Não bate quando um token de homologação vai para produção
`sub`	Sujeito: normalmente o ID do usuário ou do serviço	Vazio em tokens emitidos para um cliente e não para uma pessoa
`aud`	Audiência: a API que deveria aceitá-lo	A causa mais comum de um 401 com token aparentemente válido
`exp`	Expiração como timestamp Unix	Já passou, ou o relógio do servidor está fora de sincronia
`nbf`	Não válido antes deste instante	Token usado alguns segundos cedo demais
`iat`	Momento da emissão	Base para políticas de idade máxima e janelas de revogação
`jti`	ID único do token	Necessário para bloquear um token específico

Decodificar não é verificar

Esse é o ponto que mais confunde. Ler um token mostra o que ele afirma, não se a afirmação é verdadeira. Verificar significa recalcular a assinatura com o segredo ou a chave pública do emissor e comparar, além de checar expiração e audiência. Qualquer decodificador exibe o payload de um token forjado com a mesma facilidade do payload de um token legítimo, então nunca tome uma decisão de autorização apenas com o conteúdo decodificado: verifique no servidor com uma biblioteca mantida.

Diagnóstico de um token que não funciona

401 com token válido: compare aud com o que a API espera e iss com a URL de emissor configurada. Coloque os dois em Emissor esperado e Audiência esperada e clique em Verificar: o resultado mostra o valor que o token realmente traz.
Expirado na hora: converta exp com o conversor de timestamp Unix e compare com o relógio do servidor, não com o do seu notebook.
Erro de segmento inválido: o token foi truncado, foi codificado como URL no caminho ou uma quebra de linha entrou na cópia.
Falha na verificação da assinatura: a chave foi rotacionada, o key ID errado foi usado ou o token veio de outro ambiente.
alg igual a none: rejeite. Esse valor indica um token sem assinatura e é um ataque clássico contra validações descuidadas.

Hábitos de segurança que valem a pena

Nunca guarde dados pessoais, IDs internos ou informação confidencial no payload: ele é legível por definição.
Mantenha tokens de acesso de vida curta e use um refresh token para sessões longas.
Transmita tokens apenas por HTTPS e prefira cookies secure e HttpOnly ao armazenamento do navegador.
Faça rotação programada das chaves de assinatura e publique-as em um endpoint JWKS para que os clientes acompanhem.
Considere exposto qualquer token que você tenha colado em uma ferramenta online, e é exatamente por isso que esta não envia nada a lugar nenhum.

Funciona offline no seu navegador

O decodificador é JavaScript do lado do cliente. Depois que a página carrega, você consegue decodificar tokens sem nenhuma conexão de rede, e credenciais de produção nunca saem da sua máquina.

Decodificar um JWT em código ou no terminal

Onde	Como
JavaScript (npm)	`import { jwtDecode } from 'jwt-decode'; jwtDecode(token)` - só o payload, sem verificação
Python (PyJWT)	`jwt.decode(token, options={'verify_signature': False})` para ler, ou passe a chave para verificar
Bash	`echo $TOKEN \| cut -d. -f2 \| tr '_-' '/+' \| base64 -d 2>/dev/null` - Base64URL omite o preenchimento, então um payload curto pode precisar de `==` no final
Console do navegador	`JSON.parse(atob(token.split('.')[1].replace(/-/g, '+').replace(/_/g, '/')))`

Todas essas opções leem o token sem conferir a assinatura, o que é bom para depurar e errado para autorizar; veja a seção acima.

Ferramentas relacionadas

Tokens ficam no cruzamento de vários formatos. Leia os segmentos brutos com o decodificador Base64, organize o payload com o formatador JSON, transforme exp e iat em datas com o conversor de timestamp e limpe um token extraído de uma URL com o decodificador de URL.

Guias relacionados

Base64 vs Base64URL: o que muda e quando usar cada um Base64URL é o Base64 padrão com dois caracteres trocados, - no lugar de + e _ no lugar de /, e normalmente sem o preenchimento com =. JWT vs cookies de sessão: diferenças e quando usar cada um Um cookie de sessão é a chave para um estado guardado no servidor; um JWT leva um estado assinado até o servidor. Essa única diferença explica todos os prós e contras.