Um decodificador de JWT que lê dois terços do token
Cole o token, leia os claims. O decodificador de JWT divide a string nos pontos, transforma as duas primeiras partes de Base64URL de volta em texto e as exibe como JSON indentado. Ele nunca abre a terceira parte, a assinatura.
- Cole o token em "Token JWT codificado". O campo começa com um exemplo embutido: um token HS256 para um usuário chamado Max Mustermann com os papéis admin e user. "Carregar exemplo" o traz de volta, "Limpar" esvazia o campo.
- Encontre o algoritmo e o tipo do token no painel do cabeçalho à esquerda.
- Encontre os claims no painel do payload à direita. Os dois painéis são atualizados a cada tecla.
- Olhe a barra de status acima dos painéis. Ela diz se a data exp já passou (a assinatura não é verificada) e mostra a data de expiração no formato do seu idioma.
- Clique no botão de copiar de um painel para colocar o JSON formatado dele na área de transferência.
Por que um status verde prova menos do que parece
A ferramenta não verifica a assinatura. Ela não tem campo de chave, e o código nunca lê a terceira parte. O status verde significa uma coisa: o claim exp está no futuro segundo o relógio do seu dispositivo. Mude o relógio e a resposta muda. Um token forjado com um exp bom parece exatamente igual. Para verificar uma assinatura, você precisa do segredo ou da chave pública e de uma biblioteca de JWT no seu servidor.
Claims ignorados, entradas que falham
Só o exp é testado. Os claims nbf e iat aparecem como números brutos em segundos desde 1970. Sem exp, a ferramenta exibe "Sem data final (assinatura não verificada)".
Um Bearer no início não é removido, então a decodificação falha com um erro de Base64. Tokens criptografados (JWE, cinco partes) também falham, porque o payload deles não é JSON. Um token com apenas duas partes ainda é decodificado, já que a ferramenta precisa só do cabeçalho e do payload.
Dois minutos dentro de um 401
- Sua API responde 401 e você suspeita de um token de acesso antigo. Cole-o. Se a barra disser expirado, a data mostra há quanto tempo ele acabou.
- Um novo provedor de identidade: o array
rolestem o que você espera? - Um app móvel envia um token ao backend errado. Compare os valores de
subeexpcom o token que você pretendia enviar.
O que a página faz com o seu token
A decodificação roda em JavaScript no seu dispositivo. Digitar ou colar não envia nenhuma requisição, e o painel Rede das ferramentas de desenvolvedor vai confirmar. A ferramenta não guarda o token. A área de transferência só é tocada quando você clica num botão de copiar.