Como usar o Decodificador JWT: guia completo (2026)

O que é o Decodificador JWT?

Um decodificador JWT parte um JSON Web Token nas tres partes Base64URL para voce ler o cabecalho, as claims do payload e a assinatura. O Decodificador JWT gratis do ToolsMinify formata o JSON no navegador e nunca verifica a assinatura em Decode. A aba Encode da mesma pagina assina tokens de teste HS256 compactos com Web Crypto - o segredo nao sai do dispositivo. Nada do que voce cola e enviado.

Decodifique o cabecalho, o payload e a assinatura de um JWT no navegador. Codifique tokens de teste HS256 na mesma pagina. Decodificador de JSON Web Token gratis - nada e enviado.

Por que usar o Decodificador JWT?

• Inspecione cabecalho, payload e assinatura em uma so tela
• JSON formatado com um botao de copiar por secao
• Remove um prefixo Bearer opcional automaticamente
• Erros claros para estrutura, Base64URL ou JSON invalidos
• Aba Encode para assinar tokens HS256 no navegador - sem URL nova
• Chips NumericDate para iat/exp e aviso de segredo de 32 bytes
• Decode nao verifica e roda no cliente - o token fica no seu dispositivo

Como usar o Decodificador JWT passo a passo

1. Passo 1: Decode e a aba padrao. Cole um JWT. Um prefixo Bearer e opcional e e removido automaticamente.
2. Passo 2: O cabecalho e o payload aparecem como JSON formatado. Claims de tempo (iat, exp, nbf) mostram segundos Unix mais relogio UTC e local. A assinatura e o terceiro segmento em bruto.
3. Passo 3: Mude para Encode para assinar um token de teste. O JSON do cabecalho vem com alg HS256. Edite o payload, opcionalmente toque um chip NumericDate para iat ou exp, informe um segredo e assine.
4. Passo 4: Copie o token ou envie para Decode para inspecionar o JSON compacto que foi assinado. Se o input estiver malformado, um erro curto explica se o problema e a estrutura, a codificacao ou o JSON.

O Decodificador JWT fica em Ferramentas para desenvolvedores. Abra a página da ferramenta, digite os seus dados no campo principal e os resultados se atualizam na hora. Use o botão de copiar para colar a saída em documentos, editores de código ou planilhas.

Casos de uso comuns

Depurar tokens bearer de API

Cole um token de um cabeçalho Authorization para ver alg, typ, sub, exp e outras claims sem enviar a um debugger de terceiros.

Checar claims de expiração e emissão

Leia iat e exp no payload quando uma requisição é recusada como não autorizada e confirme que a verificação real continua no servidor.

Aprender a estrutura de um JWT

Veja como header.payload.signature vira objetos JSON e uma assinatura Base64URL, inclusive tokens sem proteção com o terceiro segmento vazio.

Criar tokens de teste HS256

Use Encode para assinar JWTs HS256 compactos para Postman ou APIs locais. Os chips NumericDate definem iat e exp sem procurar Unix na mao, e Inspecionar em Decode confirma o JSON compacto assinado.

Exemplos

• JWT padrao de tres partes: header.payload.signature decodifica para um cabecalho JSON (alg, typ), um payload JSON (claims como sub, iat, exp) e uma assinatura Base64URL.
• Cabecalho Authorization: Cole Bearer eyJ... - a ferramenta remove o prefixo Bearer e decodifica o token.
• JWT sem protecao (alg none): Um token com o terceiro segmento vazio ainda decodifica. O campo de assinatura fica em branco - Decode continua sem verificar nada.
• Token de teste HS256: Em Encode, mantenha o cabecalho HS256, defina claims, informe um segredo so de desenvolvimento e assine. A saida e um JWT de tres partes para o Postman ou para Decode.

Dicas de quem usa

• A aba Decode nunca verifica assinaturas. Qualquer pessoa pode forjar as claims do cabecalho e do payload.
• Nao cole segredos de producao nem tokens de sessao ao vivo em um decodificador online que voce nao controla - este fica no navegador, mas o habito ainda importa.
• Um JWT valido tem exatamente tres partes. Se faltar o ponto final em um token sem protecao, a decodificacao falha.
• exp e iat sao timestamps Unix em segundos; esta pagina mostra relogio UTC e local, e o Conversor de Unix Timestamp esta a um clique.
• Encode fixa alg em HS256 e serializa JSON compacto. Espacos no jwt.io mudam a assinatura - este encoder bate com a saida compacta do jsonwebtoken.
• Segredos HS256 devem ter pelo menos 32 bytes UTF-8. Combine com o Gerador de hash para aprender HMAC, nao como substituto da verificacao no servidor.

Perguntas frequentes

O que e um JWT?

Um JSON Web Token tem tres partes codificadas em Base64URL e separadas por pontos: um cabecalho, um payload de claims e uma assinatura. APIs usam JWTs como tokens bearer. Decode le as partes. Encode monta um token assinado com HS256 para testes.

Este decodificador verifica a assinatura?

Nao. A aba Decode nunca verifica. A verificacao precisa do segredo ou da chave publica e deve acontecer em um servidor confiavel. Decodificar so mostra o que o token afirma, e qualquer pessoa pode forjar isso.

Posso codificar ou assinar um JWT aqui?

Sim, na aba Encode desta mesma pagina - nao existe uma URL jwt-encoder separada. Ela assina JSON compacto com HMAC-SHA256 (HS256) no navegador. Use um segredo de teste, nunca uma chave de producao.

Por que so HS256 e nao RS256?

HS256 e HMAC com um segredo compartilhado e roda na API Web Crypto sem enviar uma chave privada. RSA e ECDSA precisam de pares de chaves e pertencem a um servidor. Esta pagina fixa alg em HS256 para o cabecalho nao dizer RS256 enquanto os bytes sao HMAC. Para o digest hex HMAC de uma mensagem mais um segredo, use o modo HMAC do Hash Generator.

Meu token ou segredo e enviado a um servidor?

Nao. Decode e Encode rodam inteiramente no seu navegador. Nada do que voce cola e enviado, registrado ou armazenado.

Por que aparece um erro?

Um JWT valido tem exatamente tres partes. O cabecalho e o payload precisam ser JSON em Base64URL. Pontos a mais, partes faltando ou codificacao corrompida geram um erro claro. Encode tambem recusa JSON invalido e um segredo vazio.

Posso confiar em claims como exp, sub ou role nesta ferramenta?

Nao por si so. Qualquer pessoa pode criar um token com qualquer claim. Use Decode para depurar tokens que voce ja tem e verifique as assinaturas no backend.

O que e Base64URL?

Base64URL e Base64 com + e / trocados por - e _, e muitas vezes sem padding. O cabecalho e o payload do JWT usam essa codificacao para o token ser seguro em URLs.

Como converter os timestamps Unix de exp/iat de um JWT em uma data legivel?

No payload de um JWT, iat e a hora de emissao e exp e a hora de expiracao (ambos sao Unix timestamps). Esta pagina ja mostra relogio UTC e local para essas claims. Voce tambem pode copiar os numeros no Unix Timestamp Converter: https://www.toolsminify.com/converter-tools/timestamp-converter.

Ferramentas relacionadas que você pode precisar

Explore outras ferramentas para desenvolvedores no ToolsMinify. A página do Decodificador JWT tem links para utilitários relacionados, para você concluir o trabalho sem sair do site.