Decodificador JWT online

O decodificador JWT atende a um cenário comum em depuração: você recebeu um token e precisa abrir para conferir claims, validade e algoritmo, mas não quer colar o token em sites de terceiros que podem registrar o conteúdo. A página resolve esse problema com decodificação 100% local.

A ferramenta separa as três partes do JWT (header, payload, signature), decodifica Base64-URL e formata o JSON resultante. A assinatura aparece como referência mas não é validada — só servidores com a chave podem fazer isso.

• Separa e decodifica header e payload de um JWT em JSON formatado.
• Reconhece claims padrão (iss, sub, aud, exp, nbf, iat, jti) com explicação curta.
• Mostra emissão, início de validade e expiração em fuso de Brasília, com avisos quando o token está expirado.

• Ao depurar uma chamada de API que está retornando 401 — abrir o JWT mostra se expirou, qual o iss/sub e se as claims estão corretas.
• Ao confirmar o algoritmo de assinatura aceito por um sistema (HS256, RS256, etc.) inspecionando um token de exemplo.
• Ao revisar tokens em logs ou tickets para entender o contexto sem precisar do servidor de autenticação.

1. Cole o JWT completo na área de texto.
2. Confira header (com algoritmo e tipo) e payload já formatados.
3. Olhe a linha do tempo do token para saber se está dentro da validade.
4. Use Copiar para extrair header, payload ou assinatura para outra ferramenta.

• Inspecionar o payload de um JWT durante depuração de uma API.
• Conferir se um token recebido já expirou antes de abrir um chamado.
• Identificar o algoritmo de assinatura (HS256, RS256) e o emissor de um token.

• Esta ferramenta NÃO valida assinatura — isso exige a chave secreta (HMAC) ou pública (RSA/ECDSA), e só faz sentido no servidor.
• JWT é codificado, não criptografado: qualquer pessoa com o token consegue ler o payload. Não armazene segredos lá.
• A linha do tempo usa o relógio do navegador. Se o computador estiver com horário errado, "expirado" pode aparecer indevidamente.

• A ferramenta separa o token pelos pontos (esperando exatamente 3 partes) e decodifica cada uma com Base64-URL (substituições - → +, _ → / e padding restaurado).
• O texto resultante passa por JSON.parse para confirmar que é um objeto válido — caso contrário a entrada é marcada como inválida.
• Os claims temporais (exp, iat, nbf) são interpretados como timestamps Unix em segundos e formatados em America/Sao_Paulo.