Como decodificar um JWT
- Cole o token (o prefixo
Bearerno início é removido automaticamente). - Leia o cabeçalho e o payload decodificados como JSON formatado e confira na tabela de claims as datas de expiração e de emissão.
- Se quiser, abra Verificar assinatura e informe a chave secreta HMAC ou a chave pública no formato PEM.
Como um JWT é formado
Um JSON Web Token é formado por três partes codificadas em Base64URL e separadas por pontos: header.payload.signature. O cabeçalho indica o algoritmo de assinatura (por exemplo, HS256 ou RS256), o payload contém as claims e a assinatura comprova que as duas primeiras partes não foram alteradas.
Claims registradas
iss– quem emitiu o tokensub– o usuário ou assunto do tokenaud– o destinatário pretendidoexp,nbf,iat– datas de expiração, de início de validade e de emissão, como timestamps Unixjti– um ID único do token
Perguntas frequentes
É seguro colar meu token aqui?
O token é decodificado no seu navegador e nunca é enviado a lugar nenhum. Mesmo assim, trate tokens ativos como senhas e evite compartilhá-los.
Qualquer pessoa pode ler o payload de um JWT?
Sim. Um JWT assinado é apenas codificado em Base64URL, não criptografado, então nunca coloque segredos no payload. Só os tokens criptografados (JWE) ocultam o conteúdo.
Por que a assinatura não é verificada automaticamente?
A verificação precisa da chave secreta ou da chave pública do emissor. Informe-a em Verificar assinatura; os algoritmos HS, RS, PS e ES são suportados.