JWT Decoder - JSON Web Tokens

Um JSON Web Token é uma credencial. Este app decodifica o token, explica o que ele diz e verifica a assinatura, tudo no seu aparelho e sem acesso próprio à rede.

DECODIFICA QUALQUER COISA COM CARA DE TOKEN

Cole um token ou envie de outro app: selecione-o em um log, comando curl, cabeçalho Authorization ou resposta JSON e use Compartilhar ou «Decodificar JWT» no menu de texto. O token é extraído do texto ao redor. Reconhece tokens assinados (JWS) e criptografados (JWE) e, de um token danificado, mostra tudo o que dá para ler.

LEIA AS CLAIMS, NÃO O BASE64

Cada claim registrada é nomeada e explicada. Claims de tempo aparecem como data e distância — «expirou há 4 horas», «em 12 minutos» — no horário local, UTC ou segundos. Reconhece cerca de noventa nomes de claims, incluindo OpenID Connect e os do Microsoft Entra, Firebase, AWS Cognito, Auth0 e Keycloak.

VERIFIQUE A ASSINATURA

• HS256, HS384, HS512 com um segredo compartilhado, como texto, base64, base64url ou hex, à sua escolha

• RS256/384/512, PS256/384/512, ES256/384/512 e ES256K com uma chave pública

• Chaves em PEM, certificado X.509, JWK ou um jwks.json inteiro; o key id do token escolhe a entrada certa

O veredito nunca é só sim ou não: «não confere», «tipo de chave errado», «curva errada» e «não dá para verificar aqui» são respostas diferentes.

O QUE HÁ DE ERRADO

Trinta e cinco achados explicados em uma frase: «alg» como none, chave embutida no cabeçalho, «nbf» depois de «exp», «exp» em milissegundos, claims duplicadas, falta de audience… e o mais importante: o payload é assinado, não criptografado. Qualquer pessoa com o token pode ler todas as claims.

FEITO PARA ALGO EM QUE VOCÊ NÃO CONFIA

Nenhum token, chave ou segredo é transmitido, e chaves e segredos nunca são gravados. O histórico mostra tokens mascarados, tem limite, pode ser apagado e fica fora do backup na nuvem.

E MAIS

• Tema claro e escuro conforme o sistema

• Dez idiomas

• Cores de sintaxe e números exatos como foram escritos

• Tolerância de diferença de relógio configurável

• Abre tokens aninhados