Como decodificar um JWT
- Cole o token, com ou sem a palavra Bearer.
- Leia o header e o payload decodificados.
- Confira as datas de emissão e expiração no seu fuso.
Como um JWT é montado
Um token é header.payload.signature. Header e payload são JSON codificado em Base64URL; a assinatura é calculada com um segredo (HS256) ou chave privada (RS256, ES256).
Depurando autenticação
Decodificando, você vê se o token expirou, para qual audiência (aud) e emissor (iss) ele foi criado e quais roles ou scopes carrega – causas comuns de erros 401 e 403.
Nada de segredos no token
Quem tem o JWT consegue ler o payload: nunca coloque senhas ou dados pessoais. Use tokens de vida curta e guarde-os onde scripts de outros sites não alcancem.
Perguntas frequentes
É seguro colar meu token aqui?
A decodificação acontece só no navegador e nada é enviado ou salvo. Mesmo assim, trate tokens de produção como senhas.
O que tem dentro de um JWT?
Um header com o algoritmo de assinatura, um payload com claims como ID do usuário e datas, e uma assinatura. Header e payload são só codificados em Base64URL, não criptografados.
O que significam iat, nbf e exp?
Data de emissão, início da validade e expiração, cada uma como timestamp Unix em segundos.