key Decodificador de JWT star

Como Funciona

Um JSON Web Token é uma string compacta formada por três partes codificadas em Base64URL unidas por pontos: header.payload.signature. Base64URL é uma variante do Base64 segura para uso em URLs, que troca +// por -/_ e remove o preenchimento = do final, de modo que o resultado possa aparecer dentro de uma URL ou de um cabeçalho HTTP sem precisar de escape. O header é um pequeno objeto JSON que indica o algoritmo de assinatura e o tipo de token — normalmente {"alg":"HS256","typ":"JWT"}. O payload é um objeto JSON de "claims": pares chave/valor arbitrários que descrevem quem o token representa e o que ele tem permissão para fazer, além de algumas claims de tempo padronizadas — iat (emitido em), nbf (não válido antes de) e exp (expiração), todas armazenadas como timestamps Unix. A assinatura é calculada sobre as duas primeiras partes usando o algoritmo indicado no header e uma chave que só o servidor emissor possui.

Cole um token aqui e a ferramenta o divide pelos seus dois pontos, decodifica o header e o payload em Base64URL e formata cada um como JSON indentado. Quaisquer valores exp/iat/nbf também são convertidos para uma data legível, com um selo que mostra rapidamente se o token está expirado no momento.

JWTs são a espinha dorsal da maior parte da autenticação moderna: tokens de acesso OAuth 2.0, tokens de identidade do OpenID Connect e sistemas de sessão personalizados usam esse formato porque ele permite que um servidor emita uma credencial autocontida que outros serviços conseguem ler sem consultar um banco de dados — desde que consigam verificar a assinatura. Os algoritmos mais comuns são HS256 (HMAC com segredo compartilhado) e RS256/ES256 (assinaturas assimétricas RSA ou de curva elíptica, em que o emissor guarda uma chave privada e qualquer um pode verificar com a chave pública correspondente).

O Que Você Precisa Saber

Decodificar não é o mesmo que validar. O header e o payload estão apenas codificados, não criptografados, então qualquer pessoa pode lê-los sem chave nenhuma — e qualquer pessoa também pode forjar um token com as claims que quiser. O que torna um JWT confiável é exclusivamente sua assinatura, e verificar uma assinatura exige o segredo (algoritmos HMAC) ou a chave pública do emissor (algoritmos RSA/ECDSA). Essa verificação deve ser feita em um servidor que guarde a chave; ela não pode ser feita com segurança dentro de uma ferramenta de navegador, já que expor um segredo ali anularia todo o propósito. Trate este decodificador estritamente como um auxiliar de depuração — nunca como prova de que um token é genuíno ou ainda válido.

Também tome cuidado com o que você cola aqui: um JWT carrega dados de sessão ou de autorização, então trate-o como uma senha e evite colar tokens reais de produção em qualquer ferramenta em uma máquina compartilhada. Tokens com cinco partes separadas por ponto são JWE (criptografado), não JWS (assinado) — este decodificador lida com a variante assinada, muito mais comum. E nunca confie cegamente no campo alg no seu próprio código de verificação — um ataque conhecido engana implementações ingênuas para que aceitem alg: none ou troquem RS256 por HS256, e é por isso que a verificação de assinatura deve ficar em bibliotecas testadas, não em código feito à mão.